Knowledge Base

Публичные OpenAPI, Swagger и GraphQL endpoints

Неочевидный риск

Категория: Web App Security · Риск: high

Неочевидный риск

Документация сама по себе не является уязвимостью, но internal spec резко упрощает поиск чувствительных endpoints, полей, ролей и ошибок авторизации. Для SaaS безопаснее иметь отдельный public API spec и закрытую internal-документацию.

Что проверять дополнительно

Проверьте не только `/docs` и `/openapi.json`, но и framework-specific пути:

curl -I https://example.com/api/docs
curl -I https://example.com/api/redoc
curl -I https://example.com/api/openapi.json

Если spec содержит admin routes, billing routes, internal audit logs или premium-management endpoints, это внутренний spec. Его лучше закрыть на edge через nginx/CDN или вынести в authenticated admin area.

Публичной можно оставить отдельную human-friendly страницу `/docs`, если она описывает только клиентский API и не раскрывает internal маршруты.