Casino, API taleplerinin güvenliğini nasıl izler?

API güvenliği iGaming'de neden önemlidir?

API - casino sinir sistemi: bahisler, cüzdan, nakit masası, oyun sağlayıcıları, KYC/KYT, telemetri. Herhangi bir delik = para, PII, lisans, itibar. Normal e-ticaretin aksine, casinoların özellikleri vardır: gerçek zamanlı para, düzenleme, saldırganların yüksek motivasyonu ve karmaşık bir entegrasyon matrisi.

Mimari ilkeler (koruma iskeleti)

1. Sıfır Güven ve En Az Ayrıcalık. Ağa veya müşterilere güvenmiyoruz. Her çağrı kontrol edilir, erişimler gereken minimum değerdir (RBAC/ABAC).

2. Alan ayrımı. Para/PII/nakit/oyun ağ geçitleri - farklı çevreler ve ağlar, farklı anahtarlar ve politikalar.

3. Tek API ağ geçidi. Nokta: mTLS, WAF/bot yönetimi, OAuth2/JWT, hız sınırları, tehdit beslemeleri, günlük kaydı.

4. Varsayılan gözlenebilirlik. İzleme, korelasyon 'traceId', anomaliler hakkında uyarılar (SLO/SIEM).

5. Güvenli varsayılanlar. Kısa TTL belirteçleri, "geniş" CORS'u yasaklama, NetworkPolicy'de varsayılan olarak reddetme.

Kimlik doğrulama ve yetkilendirme

Servisler arası aramalar: mTLS + 'aud/iss/kid've anahtar rotasyonlu kısa ömürlü JWT (5-10 dakika); İsteğe bağlı HMAC vücut imzası.

İstemci çağrıları: OAuth2 (cep telefonları için PKCE), 'HttpOnly'ile oturum çerezleri,' SameSite = Lax	Sıkı ',' Güvenli '.
Admin/support API: SSO + MFA, IP-allowlist, ayrıcalıklar - sadece rollere göre.
Ödemeler/kritik işlemler: 4-göz prensibi ve onay adımı.

Çağrı Bütünlüğü - İmzalar, Zaman, Idempotence

Kanonlaştırılmış gönderim isteğinin HMAC imzası: Parametre sıralama, kararlı JSON serileştirme (gereksiz boşluklar olmadan, aynı anahtar sırası), başlıklar:


X-İstek-Zaman Damgası: 2025-10-17T14:22:05Z
X-Request-Nonce: 8c1c... fa
X-İstek-İmza: v1 = HMAC-SHA256: base64 (...)
X-Idempotency-Key: c0a4-77f...

Yeniden oynatma koruması: Geçerli zaman penceresi (± 300 saniye), önbellekte 'once' işaretleme.

Para/webhooks için Idempotency-Key: Talebi tekrarlamak ikinci bir borç/kredi oluşturmaz.

mTLS'den cüzdan/nakit masası/sağlayıcılara: taşıma şifrelemesi + tarafların karşılıklı doğrulaması.

Güvenli POST örneği:


POST/cüzdan/debit
İçerik Türü: uygulama/json
X-İstek-Zaman Damgası: 2025-10-17T14:22:05Z
X-Request-Nonce: 8c1c0cfa
X-Idempotency-Key: 9a7f-2b1c
X-İstek-İmza: v1 = HMAC-SHA256: Z2V... = =
{
"PlayerId":" p _ 123", "miktar":" 10. 00", "para birimi":" EUR", "sebep":" bahis. yer," "roundId":" R-2025-10-17-PRAGM-12"
}

Girdi doğrulama: şemalar ve kanonikleştirme

Sözleşme olarak JSON Schema/OpenAPI. Herhangi bir dize - türlerin, aralıkların ve beyaz listelerin doğrulanması yoluyla (para birimlerinin/ülkelerin ISO kodları, enum durumları).

Boyut sınırları: Gövde ve dizilerin boyutunu sınırlar, "derin" yuvalamayı yasaklar.

İmza/günlüklerden önce JSON'un kanonikleştirilmesi, özel karakterlerin taranması, sıkı 'İçerik Türü'.

Toplu atama kilidi - Alanların açık izin listeleri.

Yüzey koruması: WAF, botlar, hız

WAF/bot yönetimi: imzalar ve davranışsal algılama (oran, coğrafi, cihaz-parmak izi).

Oran limitleri/kotaları: IP/token/client/method ile; Para ve para olmayan ayrı limitler.

DoS/kötüye kullanım kontrolü: devre kesiciler, zaman aşımları, geri basınç, "gri listeler".

CORS: nokta 'Access-Control-Allow-Origin', joker karakter yasağı ve 'Authorization' tarayıcı çapraz kökenleri gereksiz yere.

OWASP API Top-10 - özel önlemler

BOLA/BFLA (Broken Object/Function Level Auth): Kaynak sahibi tarafından ABAC, 'playerId'tarafından filtreler,' yabancı 'tanımlayıcıların yasaklanması.

Enjeksiyon/SSRF: parametreli istekler, sunucu çağrılarında harici URL'lerin yasaklanması, host allowlist.

Aşırı Veri Maruziyeti: yanıtların şekillendirilmesi (alanlar maskesi), sayfalama, parça sızıntısı olmadan hata normalleştirme.

Güvenlik Yanlış Yapılandırma: TLS/şifre sürüm birliği, CSP/İzinler-Politikası/Referans-Politikası başlıkları.

API'lerin Güvensiz Tüketimi: Zaman aşımı, geri alma, veri tekilleştirme ile sağlayıcı API'leri üzerindeki sarmalayıcılar.

PII ve gizlilik

PII tokenization and encryption (player attributes, KYC documents): KMS/HSM, fields - AES-GCM.

Veri küçültme: olaylarda/günlüklerde - yalnızca takma adlar ('playerId'), asla - belge/kart numaraları.

Saklama: TTL, yargı alanlarının gereksinimlerine göre alan adları (cüzdan/oyun/yazar kasa) için farklıdır.

Rol erişimi: Veri tabanı ve hizmetler düzeyinde PII okumanın farklılaştırılması (satır düzeyinde güvenlik/politika).

Güvenli webhook'lar ve gişe

İki faktörlü doğrulama: mTLS'den webhook'a + sağlayıcının HMAC imzasına.

Anti-replay: 'X-Idempotency-Key', 'X-Timestamp', zaman penceresi.

Allowlist IP/ASN sağlayıcısı, statik çıkış-IP bizimle.

"Zehirli" yükler: boyut sınırları, kullanılmayan alanları göz ardı etme, katı şema.

Denetim ve test uç noktası: sağlayıcı sandbox + sözleşme testleri.

Sırlar ve anahtarlar

Depolama: KMS/HSM/Secrets-manager, şifreleme olmadan git/environment değişkenlerinde asla.

Döndürme: otomatik, üstbilgi/üstveride'çocuk ", ele geçirilmiş anahtarları iptal etme.

Erişim: cam kırma prosedürleri, sırlara tüm erişimi kaydetmek.

Günlükler, izler, uyarılar

Korelasyon: Her katmanda 'traceId/requestId/playerId/roundId' (giriş, API, cüzdan, sağlayıcı, webhook).

Anomaliler: dalgalanma '401/403/429', büyüme 'VOID', bölgeye göre 'bet. reject' atlamaları, HMAC/mTLS arızaları.

Saldırı sinyalleri: Birçok 'once' tekrarı, eski 'zaman damgası' girişimleri, uzun bedenler, bilinmeyen'çocuk '.

Günlük depolama: değişmez (WORM), ayrı erişim bölgesi, PII maskeleme.

Test planı ve kalite kontrolü

Statik/Dinamik AppSec: Her CI üzerinde SAST/DAST, gizli imzalar, bağımlılıklar - SCA.

Pentest ve ed-tim: tekrar komut dosyaları, yanlış kanalda imza, hız limitleri bypass, BOLA, SSRF.

Sözleşme testleri: OpenAPI/JSON-Schema için "negatif durumlar".

Kaos/gecikme matkapları: sağlayıcıların/nakit masalarının zaman aşımlarında davranış, idempotency doğruluğu.

Bug-bounty: Ayrı bir çevre ve raporlama kuralları olan bir program.

Faydalı başlıklar ve ayarlar

'Strict-Transport-Security: max-age = 63072000; IncludeSubDomains; Önceden yüklenmiş '

Content-Security-Policy: default-src 'none'; frame-ancestors 'none "(API etki alanları için)

'Yönlendirici-Politika: yönlendirici yok'

'İzinler-Politika: Coğrafi konum = (), mikrofon = (), kamera = ()'

'X-Content-Type-Options: nosniff'

Özel uç noktalarda 'Cache-Control: no-store'

Hata Yanıtları - Tek Biçim

Json
{"hata": "GEÇERSIZ _ İMZA", "kod": "SEC _ 401", "traceId":'tr _ 5f1 "," ts ":" 2025-10-17T14: 22: 06Z "}

Anti-desenler (güvenliği bozan)

Uzun ömürlü JWT/yenileme belirteçleri, rotasyon olmadan ve cihaza bağlanmadan.

JSON'un kanonikleştirilmesi olmadan "olduğu gibi" imzası - kontrollerin geçişi.

Para/webhooks üzerinde 'Idempotency-Key' eksikliği - çift yazma-off.

Wildcard-CORS ve "Yetki" içeren uç noktalar için "In 'Access-Control-Allow-Origin".

PII/sırlar içeren günlükler,'herkes için "günlüklere paylaşılan erişim.

Tüm entegrasyonlar için tek bir HMAC paylaşılan anahtar.

JSON boyut/derinlik sınırı yok, zaman aşımı ve devre kesici yok.

Dahili parçaları ortaya çıkaran hatalar (yığın izleri, SQL, kütüphane sürümleri).

Casino API Güvenlik Kontrol Listesi

Çevre ve ulaşım

Servisler arası ve sağlayıcı kanallarında mTLS; TLS 1. 3 her yerde.
WAF/bot yönetimi, hız sınırlaması, tehdit beslemeleri ile API ağ geçidi.
CORS - yalnızca adreslenebilir, joker karakter yok.

Kimlik Doğrulama/Yetkilendirme

Müşteriler için OAuth2/OpenID, TTL ile JWT ≤ 10 dakika, anahtar rotasyon ('çocuk ').
Etki alanına göre RBAC/ABAC; Admin - SSO + MFA + IP-allowlist.

Bütünlük ve yeniden istekler

HMAC imzası, 'X-Request-Timestamp', 'X-Request-Nonce've zaman penceresi.
'X-Idempotency-Key' para, web kitapları, ödeme; Anahtarları önbellekte saklıyor.

Doğrulama

OpenAPI/JSON-Schema, JSON kanonikleştirme, boyut/derinlik sınırları.
Alanlar için maskeleme ve beyaz listeler; Toplu atama yasağı.

PII ve veriler

PII tokenization/encryption (KMS/HSM), minimization, separate retention policies.
PII/telemetri/para için bölünmüş depolama.

Entegrasyon

Webhooks: mTLS + HMAC, allowlist IP, anti-replay, sözleşme testleri.
Nakit/kripto: iki sağlayıcı ve farklı anahtarlar/ağlar, giriş/çıkış için idempotency.

Gözlemlenebilirlik

'traceId/playerId/roundId'ile izleme, saldırı sinyallerine karşı uyarı.
Günlükleri değişmez (WORM), hiçbir PII/sırları.

Süreçler

CI SAST/DAST/SCA, pentests/ed-tim düzenli olarak, bug-bounty.
Runbooks olayları: anahtarları iptal et, geri al, iletişim.

IGaming'deki API güvenliği "put WAF" değildir. "Bunlar sistem: mTLS + imzalar + idempotency, sıkı doğrulama ve kanonikleştirme, çevre ve hız koruması, PII izolasyonu, güvenli yazarkasa web kitapları, gözlemlenebilirlik ve düzenli kontroller. Bunu mühendislik kültürünün bir parçası yaparak, ürün hızını ve serbest bırakma istikrarını korurken parayı, oyuncuları ve lisansı korursunuz.