איך הקזינו מנטר את האבטחה של בקשות API

מדוע ביטחון API הוא קריטי ב iGaming

API - מערכת העצבים של הקזינו: הימורים, ארנק, מזומנים, ספקי משחקים, KYC/KYT, טלמטריה. כל חור = כסף, מח "ש, רישיון, מוניטין. בניגוד למסחר אלקטרוני רגיל, לבתי קזינו יש תכונות: כסף בזמן אמת, רגולציה, מוטיבציה גבוהה של תוקפים ומטריצת אינטגרציה מורכבת.

עקרונות אדריכליים (שלד הגנה)

1. חיסיון אפס-אמון והכי פחות. אנחנו לא סומכים על הרשת או הלקוחות. כל שיחה נבחרת, הגישה היא המינימום הנדרש (RBAC/ABAC).

2. הפרדת דומיין. כסף/PII/מזומן/שערי משחק - היקפים שונים ורשתות, מפתחות שונים ומדיניות.

3. שער API יחיד. נקודה: mTLS, ניהול WAF/BOT, OAuth2/JWT, מגבלות קצב, הזנות איום, רישום.

4. יכולת תצפית ברירת מחדל. איתור, התאמה, התראות על חריגות (SLO/SIEM).

5. ברירת מחדל בטוחה. אסימוני TL קצרים, אוסרים על ”רחב” CORS, מכחישים על ידי ברירת מחדל ב Networks Policy.

אימות ואישור

שיחות בין-שירות: mTLS + קצר-חיים JWT (5-10 דקות) עם 'aud/iss/kid' וסבב מפתח; חתימת גוף אופציונלית HMAC.

שיחות לקוח: OAuth2 (PKCE לטלפונים ניידים), עוגיות הפעלה עם "HttpOnly", "GreatSite = Lax	קפדן ”, מאובטח”.
API: SSO + MFA, IP-allowlist, הרשאות - רק על ידי תפקידים.
תשלומים/פעולות קריטיות: עקרון של 4 עיניים וצעד אישור.

התקשרו ליושרה - חתימות, זמן, אידמפוטנטיות

חתימת HMAC של בקשת הגשה קנונית: מיון פרמטרים, סריאליזציה יציבה של JSON (ללא מרחבים מיותרים, אותו סדר מפתח), כותרות:


חותם זמן בקשת X: 2025-10-17T14:22:05Z
בקשה-X-Nonce: 8c1c..
X-בקשה-חתימה: V1 = HMAC-SHA256: base64 (...)
מפתח אידמפוטנטי: c0a4-77f...

הגנה חוזרת: חלון זמן תקף (300 שניות), בדיקת 'nonce' במטמון.

Idempotency-Key עבור כסף/קובצי אינטרנט: חזרה על הבקשה אינה יוצרת חיוב/אשראי שני.

MTLS לארנק/שולחן מזומנים/ספקים: הצפנת תחבורה + אימות הדדי של הצדדים.

דוגמה לפוסט מאובטח:


פוסט/ארנק/חיוב
תוכן-סוג: יישום/json
חותם זמן בקשת X: 2025-10-17T14:22:05Z
בקשה-X-Nonce: 8c1C0cfa
מפתח אידמפוטנטי: 9a7f-2b1c
X-בקשה-חתימה: V1 = HMAC-SHA256: Z2V..
{
”תעודת זהות”: ”p _ 123”, ”כמות”: ”10”. 00,” מטבע ”:” EUR”,” סיבה ”:” הימור”. מקום, "adid':" R-2025-10-17-PRAGM-12 "
}

אימות קלט: שרטוטים וקנוניקליזציה

JSON SCHEMA/OpenAPI כחוזה. כל מחרוזת - באמצעות אימות של סוגים, טווחים ולבנים (קודי ISO של מטבעות/ארצות, מדדי אנום).

גבולות הגודל: להגביל את גודל הגוף והמערכים, לאסור קינון ”עמוק”.

Canonicalization של JSON לפני חתימה/רישומים, הקרנה של תווים מיוחדים, קפדנות 'Content-Type'.

נעילת משימות המונית, רשימות אפשריות מפורשות של שדות.

הגנה מפני השטח: WAF, רובוטים, מהירות

ניהול WAF/BOT: חתימות וגילוי התנהגותי (קצב, גיאו, טביעת-אצבע-התקן).

הגבלת קצב/מכסות: על ידי IP/token/client/method; מגבלות נפרדות על כסף ולא כסף.

DOS/שימוש לרעה-שליטה: מפסקים, פסק זמן, תרמיל גב, ”רשימות אפורות”.

COURS: Point 'Access-Control-Low-Origin', Wildcard bun ו- 'Authorization' בדפדפן חוצה מקורות ללא צורך.

OWASP API TOP-10 לאמצעים ספציפיים

(BOLA/BFLA (Broken Object/Function Level Auth: ABAC על ידי בעל משאב, מסננים על ידי 'TartId', איסור על זיהוי ”זר”.

הזרקה/SSRF: בקשות פרמטריות, איסור על כתובות חיצוניות בקריאות שרת, רשימת מנחים.

חשיפת נתונים מוגזמת: עיצוב תגובות (מסכת שדות), עבודת אלילים, נורמליזציה של שגיאות ללא דליפה חלקית.

Security Missification: TLS/Cipher version unity, CSP/Perminations-Policy/Referrer-Policy.

צריכה לא בטוחה של API: עטיפות מעל API ספק עם פסקי זמן, מגשים מחדש, שכפול.

מח "ש ופרטיות

tokenization ו-PII (מאפייני שחקן, מסמכי KYC): KMS/HSM, שדות - AES-GCM.

מזעור נתונים: באירועים/יומנים - כינויים בלבד ("TairId'), לעולם - מסמך/מספרי כרטיס.

שימור: TTL שונה עבור תחומים (ארנק/משחקים/קופה) בהתאם לדרישות השיפוט.

גישת תפקידים: דיפרנציאציה של קריאת PII בבסיס הנתונים וברמת השירותים (row-level security/policy).

פנקסי אינטרנט בטוחים וקופות

אימות שני גורמים: mTLS ל- webhook + HMAC חתימה של הספק.

אנטי-שידור חוזר: ”X-Idempotency-Key”, ”X-Timestamp”, חלון זמן.

Allowlist IP/ASN ספק, יציאה סטטית-IP איתנו.

מטענים רעילים: גבולות גודל, התעלמות משדות לא בשימוש, מזימה קפדנית.

נקודת סוף ביקורת ומבחן: ארגז חול ספקי + בדיקות חוזה.

סודות ומפתחות

אחסון: KMS/HSM/Secrets-manager, לעולם לא במשתנים git/סביבה ללא הצפנה.

סיבוב: אוטומטי, 'ילד' בכותרות/metadata, ביטול מפתחות בסכנה.

הליכי פריצת זכוכית, רישום כל גישה לסודות.

יומנים, שבילים, התראות

קורלציה: 'traceID/ ID/tower ID/doughID' בכל שכבה (ingress ac API ec arank ac webhook).

חריגות: נחשול '401/403/429', צמיחה 'VOId', קופץ' bt. נדחה 'על ידי אזור, כשלים HMAC/mTLS.

אותות התקפה: רבים 'nonce' הילוכים חוזרים, ישן 'timamp' attempts, גוף ארוך, ”ילד” לא ידוע.

אחסון יומן: ללא שינוי (תולעת), אזור גישה נפרד, מסווה PII.

תוכנית מבחן ובקרת איכות

Static/Dynamic AppSeck: SAST/DAST על כל מודיע, חתימות סודיות, תלויות - SCA.

מחומש ואד-טים: הילוך חוזר תסריטים, חתימה על הערוץ הלא נכון, מעקף מדרגה-גבולות, בולה, SSRF.

מבחני חוזה: עבור OpenAPI/JSON-Schema, ”מקרים שליליים”.

תרגילי כאוס/איחור: התנהגות בזמן של ספקים/שולחנות מזומנים, תקינות של אידמפוטנטיות.

באג-שפע: תוכנית עם היקף נפרד וכללי דיווח.

כותרות והגדרות שימושיות

'קפדן-תחבורה-אבטחה: מקסימום גיל = 63072000; SubDomains; קדם טעינה &fost

”תוכן-ביטחון-מדיניות: ברירת מחדל-src 'none”; frame-frames 'none "(עבור API domains)

הפניה-מדיניות: אין-הפניה &fost

'הרשאות-מדיניות: גאולוקציה = (), מיקרופון = (), מצלמה = () "

'X-תוכן-סוג-אפשרויות: Nosniff&pos

מטמון-בקרה: אין חנות 'על נקודות קצה פרטיות

תגובות שגיאה - תבנית יחידה

ג 'סון
”שגיאה”: ”INVALID _ חתימה”, ”קוד”: ”SEC _ 401”, ”traceId':” tr _ 5f1 ”,” ts': ”2025-10-17T14: 22: 06Z”

אנטי דפוסים (מה ששובר את האבטחה)

אסימוני JWT/רענון ארוכים ללא סיבוב ומחייב למכשיר.

החתימה ”כפי שהיא” ללא קנוניקליזציה של JSON = מעבר המחאות.

חוסר 'Idempotency-Key' על כסף/webhooks = כתיבה כפולה.

Wildcard-COURS ו- ”In 'Access-Control-Low-Origin” עבור נקודות סוף עם' אישור '.

יומנים עם סודות מח "ש, גישה משותפת ליומנים" לכולם ".

מפתח משותף יחיד של HMAC עבור כל האינטגרציות.

אין מגבלות גודל/עומק, אין פסקי זמן ומפסקים.

שגיאות החושפות חלקים פנימיים (עקבות ערימות, SQL, גרסאות ספרייה).

רשימת האבטחה של קזינו API

היקפי ושיגור

[ ] mTLS בערוצים בין-שירות וספקים; TLS 1. 3 בכל מקום.

[ ] API עם ניהול WAF/BOT, הגבלת קצב, הזנות איום.

[ ] CORS - ניתן לכתובת בלבד, אין כרטיס בר.

אימות/אישור

[ ] OAuth2/OpenID ללקוחות, JWT עם TTL

[ ] RBAC/ABAC לפי תחום; אדמיר- SSO + MFA + IP-Allowlist.

יושרה ובקשות חוזרות

[ חתימת HMAC ], 'X-Request-Timestamp', 'X-Request-Nonce' וחלון זמן.

[ ] 'X-Idempotency-Key' על כסף, קופות, קופות; אחסון מפתחות במטמון.

אימות

[ ] OpenAPI/JSON-Schema, JSON canonicalization, גבולות גודל/עומק.

[ ] מסכות ולבנים לשדות; איסור על הקצאה המונית.

מח "ש ונתונים

[ ] PII tokenization/Encryption (KMS/HSM), מדיניות שימור נפרדת.

[ ] פיצול אחסון עבור PII/טלמטריה/כסף.

אינטגרציה

[ ] Webhooks: mTLS + HMAC, allowlist IP, anti-replay, בדיקות חוזה.

[ ] Cash/Crypto: שני ספקים ומפתחות/רשתות שונות,

יכולת תצפית

[ ] התחקות עם 'traceID/Not ID/Dough', התראה לאותות תקיפה.

[ ] Logs Immutable (תולעת), אין PII/סודות.

תהליכים

[ ] SAST/DAST/SCA ב CI, מחומשים/ed-tim באופן קבוע, באג-שפע.

[ ] תקריות: ביטול מפתחות, גלגול חוזר, תקשורת.

אבטחת API ב iGaming היא לא "לשים WAF. אלו הן המערכת: חתימות mTLS + אידמפוטנטיות, אימות קפדני וקאנוניציליזציה, הגנה היקפית ומהירות, בידוד PII, קופות קופה מאובטחות, יכולת תצפית וצ 'קים רגילים. על ידי ביצוע חלק זה של תרבות ההנדסה, אתה מגן על כסף, שחקנים ואת הרישיון תוך שמירה על מהירות מוצר ושחרור יציבות.