सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 · पाठ

सुरक्षित RESTful एपीआई का अभिकल्पन

प्रमाणीकरण, प्राधिकरण, अनुरोध-दर सीमित करना और इनपुट सत्यापन सहित RESTful एपीआई के लिए सुरक्षा की सर्वोत्तम प्रक्रियाएँ लागू कीजिए।

पाठ 1, कुल 4 में से11 चरण

सुरक्षित RESTful एपीआई का अभिकल्पन, CoddyKit पर सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 का एक निःशुल्क पाठ है। यह 4 में से 1वाँ पाठ है। इस अध्ययन पथ के 3 तक कोई भी पाठ पूरा पढ़ना निःशुल्क है — इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ व्यावहारिक अभ्यास भी उपलब्ध कराता है। यह सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 सीखने के मार्ग का हिस्सा है और आपकी प्रगति वेब तथा CoddyKit ऐप पर सिंक होती रहती है। सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

API को मज़बूत सुरक्षा चाहिए

RESTful API आधुनिक अनुप्रयोगों की रीढ़ हैं, जो विभिन्न सेवाओं और क्लाइंट को जोड़ते हैं। वे आपके बैकएंड के तर्क और डेटा को पूरी दुनिया के सामने उजागर करते हैं, इसलिए हमलावरों के प्रमुख लक्ष्य बन जाते हैं।

अपने API को सुरक्षित करना कोई विकल्प नहीं, बल्कि आवश्यकता है। एक अकेली कमज़ोरी से डेटा लीक, सेवा में बाधा या अनधिकृत पहुँच हो सकती है।

आप कौन हैं? API प्रमाणीकरण

प्रमाणीकरण क्लाइंट की पहचान सत्यापित करने की प्रक्रिया है। API के लिए इसका अर्थ अक्सर यह जाँचना होता है कि क्लाइंट को अनुरोध करने की अनुमति है या नहीं।

API कुंजियाँ: अनुरोधों के साथ भेजे जाने वाले सरल गुप्त मान।
टोकन (जैसे JWT): अधिक मज़बूत, और अक्सर उपयोगकर्ता प्रमाणीकरण प्रवाह में उपयोग किए जाते हैं।
OAuth 2.0: प्रत्यायोजित प्राधिकरण के लिए (किसी अन्य पाठ में शामिल किया गया है)।

हमेशा मज़बूत, विशिष्ट क्रेडेंशियल का उपयोग करें और उन्हें सुरक्षित रखें।

पहुँच के लिए API कुंजियों का उपयोग

API कुंजियाँ किसी प्रोजेक्ट या उपयोगकर्ता का प्रमाणीकरण करने के लिए उपयोग किए जाने वाले विशिष्ट पहचानकर्ता हैं। इन्हें आमतौर पर अनुरोध हेडर में या क्वेरी पैरामीटर के रूप में भेजा जाता है।

हालाँकि ये सरल होती हैं, फिर भी इन्हें पासवर्ड की तरह सुरक्षित रखें। इन्हें कभी भी कोड में स्थायी रूप से न लिखें और इनके उजागर हो जाने पर तुरंत निरस्त कर दें।

API कुंजी भेजने का उदाहरण:

public class ApiClient {
  public static void main(String[] args) {
    String apiKey = "your_secret_api_key_123";
    String url = "https://api.example.com/data";

    System.out.println("Sending request to: " + url);
    System.out.println("With header: X-API-Key: " + apiKey);
    // In a real app, you'd use HttpClient to send the request
  }
}

आपको क्या करने की अनुमति है?

प्रमाणीकरण के बाद, प्राधिकरण यह निर्धारित करता है कि प्रमाणित क्लाइंट क्या कर सकता है। किसी प्रमाणित उपयोगकर्ता को डेटा पढ़ने की अनुमति हो सकती है, लेकिन उसे हटाने की नहीं।

भूमिका-आधारित अभिगम नियंत्रण (RBAC): भूमिकाओं (जैसे, 'व्यवस्थापक', 'उपयोगकर्ता') के आधार पर अनुमतियाँ निर्धारित करना।
विशेषता-आधारित अभिगम नियंत्रण (ABAC): अधिक सूक्ष्म नियंत्रण, जिसमें उपयोगकर्ता, संसाधन या परिवेश की विशेषताओं का उपयोग किया जाता है।

न्यूनतम विशेषाधिकार के सिद्धांत को हमेशा लागू करें: केवल उतनी ही न्यूनतम आवश्यक पहुँच दें, जितनी जरूरी हो।

उपयोगकर्ता के इनपुट पर कभी भरोसा न करें

किसी बाहरी स्रोत से आपके API में आने वाले प्रत्येक डेटा की जाँच और पुष्टि की जानी चाहिए। इसमें क्वेरी पैरामीटर, हेडर और अनुरोध का मुख्य भाग शामिल हैं।

उचित इनपुट सत्यापन कई प्रकार के हमलों को रोकने में मदद करता है, जैसे:

इंजेक्शन हमले: (SQLi, कमांड इंजेक्शन)
क्रॉस-साइट स्क्रिप्टिंग (XSS): (हालाँकि यह अक्सर क्लाइंट-पक्ष पर होता है, बैकएंड भी इसमें योगदान दे सकता है)
बफ़र ओवरफ़्लो और डेटा की अखंडता से जुड़ी अन्य समस्याएँ।

डेटा के प्रकार, लंबाई, प्रारूप और स्वीकार्य मानों के लिए सख्त नियम निर्धारित करें।

सरल इनपुट सत्यापन का उदाहरण

यहाँ उपयोगकर्ता नाम की जाँच करने वाला Java का एक बुनियादी उदाहरण दिया गया है। वास्तविक अनुप्रयोग में सत्यापन के अधिक जटिल नियम होंगे और संभवतः किसी समर्पित सत्यापन लाइब्रेरी का उपयोग किया जाएगा।

public class InputValidator {
  public static void main(String[] args) {
    String username1 = "validUser123";
    String username2 = "invalid user!";
    String username3 = "tooLongUsernameWhichExceedsTwentyChars";

    System.out.println("Validating '" + username1 + "': " + isValidUsername(username1));
    System.out.println("Validating '" + username2 + "': " + isValidUsername(username2));
    System.out.println("Validating '" + username3 + "': " + isValidUsername(username3));
  }

  public static boolean isValidUsername(String username) {
    if (username == null || username.trim().isEmpty()) {
      return false; // Cannot be null or empty
    }
    if (username.length() < 3 || username.length() > 20) {
      return false; // Length check
    }
    // Only alphanumeric characters allowed
    if (!username.matches("^[a-zA-Z0-9]+$")) {
      return false;
    }
    return true;
  }
}

दर सीमित करके अनुरोध प्रवाह नियंत्रित करें

दर सीमित करना, किसी निश्चित समयावधि (जैसे, प्रति मिनट 100 अनुरोध) में किसी क्लाइंट द्वारा API को भेजे जा सकने वाले अनुरोधों की संख्या को सीमित करता है।

यह इन कारणों से अत्यंत महत्वपूर्ण है:

DoS (सेवा-अस्वीकार) हमलों को रोकना: आपके सर्वर पर अत्यधिक भार पड़ने से बचाना।
बलपूर्वक आज़माइश वाले हमलों को कम करना: प्रमाणीकरण वाले अंतिम बिंदुओं पर।
निष्पक्ष उपयोग सुनिश्चित करना: किसी एक क्लाइंट को संसाधनों पर एकाधिकार करने से रोकना।

सीमा पार होने पर API को HTTP 429 बहुत अधिक अनुरोध स्थिति कोड लौटाना चाहिए।

त्रुटियों को सुरक्षित ढंग से संभालें

आपका API त्रुटियों को किस प्रकार संभालता है, यह सुरक्षा से जुड़ा विषय है। त्रुटि के विस्तृत संदेश अनजाने में आपके बैकएंड की संवेदनशील जानकारी उजागर कर सकते हैं, जैसे डेटाबेस की संरचना, सर्वर पथ या आंतरिक तर्क।

सर्वोत्तम विधियाँ:

सामान्य त्रुटि संदेश: उच्च-स्तरीय और उपयोगकर्ता-अनुकूल त्रुटियाँ दें।
विवरण का आंतरिक लॉग रखें: विस्तृत त्रुटि लॉग सर्वर पर रखें, क्लाइंट की प्रतिक्रिया में नहीं।
स्टैक ट्रेस से बचें: क्लाइंट को कच्चे स्टैक ट्रेस कभी न दिखाएँ।

मानक HTTP स्थिति कोड का उपयोग करें (जैसे, 400 गलत अनुरोध, 401 अनधिकृत, 403 निषिद्ध, 500 आंतरिक सर्वर त्रुटि)।

HTTPS (TLS/SSL) का हमेशा उपयोग करें

आपके REST-आधारित API के साथ होने वाला सभी संचार HTTPS (HTTP सुरक्षित) के माध्यम से होना चाहिए। HTTPS क्लाइंट और सर्वर के बीच आदान-प्रदान किए गए डेटा को एन्क्रिप्ट करता है और उसे गुप्त रूप से सुनने, छेड़छाड़ तथा बीच के व्यक्ति वाले हमलों से सुरक्षित रखता है।

सुनिश्चित करें कि आपका सर्वर मान्य TLS/SSL प्रमाणपत्रों के साथ कॉन्फ़िगर किया गया हो और क्लाइंट को HTTPS का उपयोग करने के लिए बाध्य किया जाए (जैसे, HSTS हेडर द्वारा)।

वेब पर उपलब्ध किसी भी सेवा के लिए यह सुरक्षा की एक मूलभूत परत है।

अपने API सुरक्षा ज्ञान की जाँच करें

REST-आधारित API डिज़ाइन करते समय निम्नलिखित में से कौन-सी सुरक्षा विधियाँ आवश्यक हैं?

इंटरैक्टिव पाठ में इसका उत्तर दें

पुनरावलोकन: सुरक्षित API डिज़ाइन करना

इस पाठ में हमने सुरक्षित REST-आधारित API डिज़ाइन करने के मुख्य सिद्धांतों को समझा:

प्रमाणीकरण: क्लाइंट की पहचान सत्यापित करना (जैसे, API कुंजियों द्वारा)।
प्राधिकरण: प्रमाणित क्लाइंट क्या कर सकते हैं, इसे नियंत्रित करना।
इनपुट सत्यापन: आने वाले सभी डेटा की सख्ती से जाँच करना।
दर सीमित करना: दुरुपयोग और DoS हमलों को रोकना।
सुरक्षित त्रुटि प्रबंधन: जानकारी उजागर होने से बचना।
HTTPS: सभी संचार को एन्क्रिप्ट करना।

इन विधियों को लागू करके आप अधिक मजबूत और भरोसेमंद API बनाते हैं।

शुरुआत निःशुल्क

एआई शिक्षक के साथ सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 सीखें — निःशुल्क

अपने ब्राउज़र में वास्तविक कोड लिखें और चलाएँ, चौबीसों घंटे एआई शिक्षक से तुरंत सहायता पाएँ, और वेब या ऐप पर वहीं से शुरू करें जहाँ आपने छोड़ा था।

पाठ्यक्रम: 12
पाठ: 48

निःशुल्क सीखना शुरू करें पूरा पाठ्यक्रम देखें

अक्सर पूछे जाने वाले प्रश्न

क्या “सुरक्षित RESTful एपीआई का अभिकल्पन” पाठ निःशुल्क है?

हाँ — सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 अध्ययन पथ के 3 तक कोई भी पाठ, जिसमें “सुरक्षित RESTful एपीआई का अभिकल्पन” भी शामिल है, यहाँ वेब पर पूरा पढ़ना निःशुल्क है। इसके बाद CoddyKit PRO हर पाठ अनलॉक करता है, साथ ही अंतर्निर्मित कोड संपादक और चौबीसों घंटे एआई शिक्षक के साथ इंटरैक्टिव अभ्यास भी उपलब्ध कराता है। सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

“सुरक्षित RESTful एपीआई का अभिकल्पन” में मैं क्या सीखूँगा?

प्रमाणीकरण, प्राधिकरण, अनुरोध-दर सीमित करना और इनपुट सत्यापन सहित RESTful एपीआई के लिए सुरक्षा की सर्वोत्तम प्रक्रियाएँ लागू कीजिए। आप ब्राउज़र में सीधे चलाए जाने वाले व्यावहारिक कोड के साथ सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 का अभ्यास करते हैं, और पाठ पूरा करते समय 24/7 एआई ट्यूटर आपके प्रश्नों के उत्तर देता है।

क्या सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 शुरू करने के लिए मुझे किसी अनुभव की आवश्यकता है?

पहले के अनुभव की आवश्यकता नहीं है। CoddyKit पर सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 शुरुआती से लेकर उन्नत शिक्षार्थियों तक सभी के लिए व्यवस्थित किया गया है, इसलिए आप यहीं से या शुरुआत से सीखना शुरू कर सकते हैं और अपनी गति से आगे बढ़ सकते हैं। यह 4 में से 1वाँ पाठ है।

“सुरक्षित RESTful एपीआई का अभिकल्पन” पाठ पूरा करने में कितना समय लगता है?

CoddyKit का अधिकांश पाठ लगभग 5–10 मिनट में पूरा हो जाता है। हर पाठ छोटा और संवादात्मक है, इसलिए आप लगातार प्रगति करते हैं और वेब या ऐप पर वहीं से सीखना जारी रख सकते हैं जहाँ आपने छोड़ा था।

क्या मैं इस सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 पाठ में कोड लिख और चला सकता हूँ?

हाँ। हर सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 पाठ में एक अंतर्निर्मित कोड संपादक शामिल है, जिससे आप सीधे अपने ब्राउज़र में वास्तविक कोड लिख और चला सकते हैं और तुरंत एआई प्रतिक्रिया पा सकते हैं—स्थानीय सेटअप की आवश्यकता नहीं है।

इस पाठ्यक्रम के सभी पाठ

← सुरक्षित कोडिंग और बैकएंड के लिए OWASP के शीर्ष 10 पर वापस जाएँ