Ինչպես կազինոն հետևում է API հարցումների անվտանգությանը

Ինչու է API անվտանգությունը iGaming քննադատական

API - կազինոյի նյարդային համակարգ 'դրամապանակ, դրամարկղ, խաղերի պրովայդերներ, KYC/KYT, հեռուստատեսություն։ Ցանկացած անցք = գումար, PII, արտոնագիր, հեղինակություն։ Ի տարբերություն սովորական e-commerce-ի, կազինոն ունի հատկություններ 'իրական ժամանակ փողի, կարգավորիչի, հարձակվողների բարձր մոտիվացիայի և բարդ ինտեգրացիոն մատրիցի։

Ճարտարապետական սկզբունքները («կմախք» պաշտպանության)

1. Zero-Trust & Least Privilege. Մենք չենք վստահում ոչ ցանցին, ոչ հաճախորդներին։ Յուրաքանչյուր մարտահրավեր ստուգվում է, հասանելի է նվազագույն անհրաժեշտ (RBAC/ABAC)։

2. Ածխաջրածինների բաժանումը։ Փողը/PII/դրամարկղ/խաղային դարպասը տարբեր պարագծեր և ցանցեր, տարբեր բանալիներ և քաղաքականություններ։

3. Մեկ API-դարպաս։ Կետը ՝ mTIM, WAF/բոտ կառավարում, OAuth2/JWT, rate limits, threat-feeds, լոգիստիա։

4. Լռելյայն դիտարկումը։ Թրեյսինգը, հարաբերակցությունը 'trance Id', ալտերտերը անոմալիայի վրա (SLO/SIEM)։

5. Անվտանգ դեֆոլտներ։ Կարճ TTL թոկենները, SNS-ի «լայն» արգելքը, deny-by-international-ը NetworkPolicy-ում։

Վավերացում և հեղինակային իրավունք

Առաջին զանգերը ՝ mTSA + կարճ JWT (5-10 րոպե) '«aud/is/kid» և միգրացիայի լուծարմամբ։ օբյեկտիվորեն HMAC ստորագրությունը։

Հաճախորդների զանգերը ՝ OAuth2 (PKCE Microsoft), session cookies s 'Live Only «,» SoftSite = Lax	Strict`, `Secure`.
Admin/API sapport: SSO + MFA, IP-allowlist, արտոնությունները միայն դերերով են։
Վճարումները/կրիտիկական վիրահատությունները '4-աչքի սկզբունքը և հաստատման քայլը։

Զանգի ամբողջականությունը 'ստորագրություններ, ժամանակ, գաղափարախոսություն

HMAC-ի ստորագրությունը կանոնականացված նախադասության մասին

տեսակավորումը, JSON-ի կայուն սերիզացիան (առանց ավելցուկ օրինագծերի, նույն կոդավորման կարգը), վերնագրերը


X-Request-Timestamp: 2025-10-17T14:22:05Z
X-Request-Nonce: 8c1c...fa
X-Request-Signature: v1=HMAC-SHA256:base64(…)
X-Idempotency-Key: c0a4-77f…

Replay-պաշտպանություն 'ժամանակի թույլատրելի պատուհան (300 վայրկյան), ստուգում «nonce» քեշում։

Idempotency-Key փողի/webhuks-ի համար, հարցման խոհարարը չի ստեղծում երկրորդ դեբեթ/վարկ։

MTSA-ին դրամապանակի/դրամարկղի/պրովայդերների համար 'տրանսպորտի կոդավորումը + կողմերի փոխադարձ ստուգումը։

Պաշտպանված POST-ի օրինակ


POST /wallet/debit
Content-Type: application/json
X-Request-Timestamp: 2025-10-17T14:22:05Z
X-Request-Nonce: 8c1c0cfa
X-Idempotency-Key: 9a7f-2b1c
X-Request-Signature: v1=HMAC-SHA256:Z2V…==
{
"playerId":"p_123",  "amount":"10. 00",  "currency":"EUR",  "reason":"bet. place",  "roundId":"R-2025-10-17-PRAGM-12"
}

Մուտքի վալիդացիան 'սխեմաներ և կանոկալիզացիա

JSON Schema/OpenAPI-ը որպես պայմանագիր։ Յուրաքանչյուր տող 'տեսակների, միջակայքերի և whitelis.ru (RF-105 վալանտ/երկրների, կարգավիճակների enum) միջոցով։

Size limits 'մարմնի չափի և զանգվածների սահմանափակումը, «խորը» ներդրումների արգելքը։

JSON-ի կանոնականացումը նախքան ստորագրումը/լոգարը, հատուկ սիմվոլների էկրանավորումը, խիստ «Entent-Type»։
Զանգվածային նշանակման արգելափակում (wwww.s assign.ru) 'ակնհայտ allow-lis.ru դաշտեր։

Մակերեսի պաշտպանությունը 'WAF, բոտեր, արագություն

WAF/բոտ կառավարում 'ազդանշաններ և վարքագծային բացահայտումներ (rate, geo, device-fingerprint)։

Rate limits/www.tas: IP/towenu/հաճախորդ/մեթոդով; որոշ սահմանափակումներ փողի և փողի համար։
DoS/abuse-վերահսկումը 'circuit-breakers, timeouts, backpressure, «մոխրագույն ցուցակներ»։
SYS: կետային «Systel-Corl-Allow-Origin», wildcard և «Authorization» արգելքը զննարկիչ քրոսեքսային origin-ում առանց կարիքների։

OWASP API Top-10 հատուկ միջոցներ

BOLA/BFLA (Broken Object/Function Level Auth): ABAC-ը ռեսուրսի սեփականատեր, ֆիլտրեր 'playerId', «օտար» լուծիչների արգելքը։

INJ.rU/SSRF 'հիբրիզացված հարցումներ, արտաքին URL արգելք սերվերային զանգերում, allowlist հանրակացարանների։

Diressive Directive Exposure: Shaping (fields nock), pagination, սխալների նորմալացում առանց մասերի արտահոսքի։

Misconfiguration-ը 'TFC/ծածկագրերի տարբերակների միասնություն, CSP/Permissions-Policy/Referrer-Policy վերնագրեր։

Unsafe Consumption of SYs 'Spraider API-ի վրա թայմաուտներով, ելույթներով, deduplication։

PII և մասնավոր

Tokenization և կոդավորումը PII (խաղացողի ատրիբուտները, KYC փաստաթղթերը) 'KMS/HSM, դաշտերը - AES-GCM։

Medminimization: Իրադարձությունների/լոգայի մեջ միայն կեղծանուններ են («playerId»), երբեք փաստաթղթերի/քարտերի համարներ։
Retention: TTL-ը տարբեր է ֆորումների համար (դրամապանակ/խաղեր/ձայներ) համաձայն միգրացիայի պահանջներին։
Դերերի հասանելիությունը 'PII-ի կարդալու սահմանափակում BD և ծառայությունների մակարդակում (row-level)։

Ապահով Webhuks և տոմսարկղեր

Երկու ֆակտորային ստուգում ՝ mTSA webhuk + HMAC ստորագրություն պրովայդերի համար։

Anti-replay: «X-Idempotency-Key», «X-Timestamp», ժամանակի պատուհանը։
Allowlist IP/ASN պրովայդերը, ստատիկ egress-IP-ը, մենք ունենք։
«Թունավոր» payloads: Չափի լիմիտներ, չօգտագործված դաշտերի անտեսում, խիստ սխեմա։
Աուդիտը և թեստը 'պրովայդերի ավազը + պայմանագրային թեստեր։

Գաղտնիքներ և բանալիներ

Պահեստավորում ՝ KFC/HSM/Secrets-2019, երբեք ոչ թե git/փոփոխական միջավայրում առանց հաճախորդների։

Ռոտացիան 'ավտոմատ, «kid» վերնագրերում/մետատվյալներում, փոխկապակցված կոդերի հետ։

Հասանելիություն 'break-glass ընթացակարգեր, բոլոր դիմումները գաղտնիքներին։

Լոգներ, թրեյսներ, ալերտներ

Հարաբերակցություն ՝ «trance ID/requestId/playerID/roundId» յուրաքանչյուր շերտի մեջ (ingress of API) դրամապանակն է։

Անոմալիա '«401/403/429», «VOID», «bet» ցատկ։ reject 'ըստ տարածաշրջանների, HMAC/mTSA-ի ձախողումները։

Հարձակման ազդանշանները 'շատ «nonce» -pover, փորձեր հին «timestamp», երկար մարմիններ, որոնք անհայտ են «kid»։

Լոգարանների պահեստ 'անփոփոխ (WORM), առանձին հասանելիության գոտի, PII դիմակավորում։

Թեստային պլանը և որակի վերահսկումը

Static/International AppSec: SFC/DTS-ը յուրաքանչյուր CI-ում, գաղտնիքների ազդանշանները, կախվածությունները 'SCA-ն։

Պենտեստները և red-tim: Replay-ի սցենարները, ստորագրությունը սխալ ալիքի վրա, շրջանցելով rate-limits, BOLA, SSRF-ը։

Պայմանագրային թեստեր 'OpenAPI/JSON-Schema, «negative cases»։

Chaos/latency medills: վարքագիծը պրովայդերների/ձայներիզների թայմաուտներում, կուռքի ճիշտ։
Bug-bounty 'ծրագիր առանձին պարագծով և ռեպերտինգի կանոններով։

Օգտակար վերնագրեր և հոդվածներ

`Strict-Transport-Security: max-age=63072000; includeSubDomains; preload`

`Content-Security-Policy: default-src 'none'; Frame ancestors 'none "(API ֆորումի համար)

`Referrer-Policy: no-referrer`

`Permissions-Policy: geolocation=(), microphone=(), camera=()`

`X-Content-Type-Options: nosniff`

«Cache-Corl: 108-store» մասնավոր էնդպոինտների վրա

Սխալների պատասխանները 'մեկ ձևաչափ

json
{ "error":"INVALID_SIGNATURE", "code":"SEC_401", "traceId":"tr_5f1", "ts":"2025-10-17T14:22:06Z" }

Anti-patterns (որը կոտրում է անվտանգությունը)

Երկար գոյատևող JWT/refresh-հոսանքները առանց ռոտացիայի և կառուցվածքի։

«Ինչպե՞ ս կա» ստորագրությունը առանց JSON-ի կանոնականացման հաստատեց ստուգումների հանգույցը։
«Idempotency-Key» -ի բացակայությունը փողի/webhuks-ի վրա կրկնակի դուրս է գալիս։
Wildcard-SNS-ը և «Moscol-Allow-Origin» -ը էնդպոինտների համար «Authorization» -ի հետ։
Լոգները PII/գաղտնիքներով, ընդհանուր հասանելիությունը «բոլորի համար»։
HMAC-ի ընդհանուր բանալին բոլոր ինտեգրումների համար։
Ոչ մի սահմանափակում չկա JSON չափի/խորության վրա, չկա թայմաուտներ և circuit-breakers։
Սխալները, որոնք բացահայտում են ներքին մանրամասները (stack traces, SQL, գրադարանների տարբերակները)։

Chek-like անվտանգության API կազինո

Պարիմետրը և տրանսպորտը

mTSA-ն պարուրաձև և պրովայդերական ալիքների վրա։ TLS 1. 3 ամենուր։
API դարպասը WAF/բոտ կառավարման, rate limiting, threat-feeds հետ։
DRS-ն միայն հասցեային է, առանց wildcard-ի։

Վավերացում/հեղինակային

OAuth2/OpenID հաճախորդների համար, JWT-ը TTL-ի հետ 10 րոպե, կոդավորման լուծարումը («kid»)։
RBAC/ABAC օրինագծերով; ադմինը SSO + MFA + IP-allowlist է։

Ամբողջականություն և երկրորդ հարցումներ

HMAC ստորագրություն, «X-Request-Timestamp», «X-Request-Nonce» և ժամանակի պատուհանը։
«X-Idempotency-Key» փողի, webhuks, տոմսարկղերի վրա; պահեստավորումը տեղադրված է քեշի մեջ։

Վալիդացիա

OpenAPI/JSON-Schema, JSON կանոնականացում, չափսի/խորության սահմաններ։
Mascelis.ru և whitelis.ru դաշտերի համար; արգելք www.s assign.ru։

PII և տվյալներ

Tokenization/կոդավորումը PII (KFC/HSM), նվազագույնի, առանձին վերականգնման քաղաքականություններ։
Բաժանված դեղամիջոցները PII/հեռաչափության/փողի համար։

Մոսկվան

Webhuki: mTSA + HMAC, allowlist IP, anti replay, պայմանագրային թեստեր։
Cassa/crypta: երկու պրովայդեր և տարբեր բանալիներ/ցանցեր, idempotency-ի վրա/ելքի վրա։

Դիտարկումը

Թրեյսինգը '«trance Id/playerID/roundID», ալյուրները հարձակման ազդանշանների վրա։
Լոգները անփոփոխ են (WORM), առանց PII/գաղտնիքների։

Գործընթացներ

SFC/DFC/SCA-ում, pentests/red-tim պարբերաբար, bug-bounty։
Runbooks .ru: revoke .ru, արձագանք, հաղորդակցություն։

API-ի անվտանգությունը iGaming-ում չի «տեղադրել WAF-ը»։ Սա համակարգ է ՝ mTSA + ստորագրություն + idempotention, խիստ վալիդացիա և կանոնականացում, պարագծի և արագությունների պաշտպանություն, PII մեկուսացում, անվտանգ տոմսարկղերի վեբհուկներ, դիտողություններ և ստուգումներ։ Եվ դա դարձնելով ինժեներական մշակույթի մի մասը, դուք պաշտպանում եք փողը, խաղացողները և լիցենզիան, միաժամանակ պահպանելով արտադրանքի արագությունը և ներմուծումը։