QA ও রিলিজ অ্যাসুরেন্স

API সিকিউরিটি

আপনার REST ও GraphQL API-এর দুর্বলতাগুলো কেউ কাজে লাগানোর আগেই খুঁজে বের করুন। আপনার অনুমতি নিয়ে আমরা অথেনটিকেশন, অথরাইজেশন ও ডেটা এক্সপোজার টেস্ট করি, যাচাই করা ফাইন্ডিং রিপোর্ট করি এবং আপনার ফিক্সগুলো রিটেস্ট করি।

আপনার প্রকল্প নিয়ে কথা বলুন API সিকিউরিটি নিয়ে আলোচনা করুন

আমরা কাদের API টেস্ট করি

আপনার অ্যাপগুলো API-কে কেবল সেভাবেই কল করে, যেভাবে তাদের স্ক্রিন অনুমতি দেয়, কিন্তু যে কেউ সরাসরি এতে পরিবর্তিত রিকোয়েস্ট পাঠাতে পারে। এমন একটি রিকোয়েস্ট কী পড়তে, বদলাতে বা নিঃশেষ করে দিতে পারে, তা আপনার জানা প্রয়োজন।

যেসব SaaS প্রোডাক্টে অনেক টেন্যান্ট একটি API ও ডেটাবেস শেয়ার করে
মোবাইল অ্যাপ টিম, যাদের ব্যাকএন্ড API ট্রাফিক একবার পরীক্ষা করে নিলেই যে কেউ কল করতে পারে
যে টিমগুলোর API AI কোডিং টুলের সাহায্যে দ্রুত বেড়েছে, কিন্তু কখনো সিকিউরিটি টেস্ট করা হয়নি

প্রতিটি API ঝুঁকি কীভাবে টেস্ট করা হয়

একাধিক ইউজার রোলসহ একটি REST API-এর নমুনা পরিকল্পনা; আপনার ক্ষেত্রে পদ্ধতির মিশ্রণ ঠিক হয় সম্মত স্কোপ অনুযায়ী।

	অটোমেটেড স্ক্যানিং	ম্যানুয়াল টেস্টিং	ফিক্সের পর রিটেস্ট	রিগ্রেশন চেক
অথেনটিকেশন ও টোকেন	বেছে বেছে ব্যবহৃত	এই ক্ষেত্রের মূল কৌশল	এই ক্ষেত্রের মূল কৌশল	বেছে বেছে ব্যবহৃত
অবজেক্ট লেভেলের অথরাইজেশন	এখানে খুব একটা কাজে আসে না	এই ক্ষেত্রের মূল কৌশল	এই ক্ষেত্রের মূল কৌশল	এই ক্ষেত্রের মূল কৌশল
ইনপুট হ্যান্ডলিং ও ইনজেকশন	এই ক্ষেত্রের মূল কৌশল	বেছে বেছে ব্যবহৃত	এই ক্ষেত্রের মূল কৌশল	এই ক্ষেত্রের মূল কৌশল
রেট লিমিটিং ও ব্রুট ফোর্স	বেছে বেছে ব্যবহৃত	এই ক্ষেত্রের মূল কৌশল	বেছে বেছে ব্যবহৃত	এখানে খুব একটা কাজে আসে না
রেসপন্সে অতিরিক্ত ডেটা	বেছে বেছে ব্যবহৃত	এই ক্ষেত্রের মূল কৌশল	এই ক্ষেত্রের মূল কৌশল	বেছে বেছে ব্যবহৃত
ব্যবসায়িক লজিকের অপব্যবহার	এখানে খুব একটা কাজে আসে না	এই ক্ষেত্রের মূল কৌশল	এই ক্ষেত্রের মূল কৌশল	বেছে বেছে ব্যবহৃত

এই ক্ষেত্রের মূল কৌশল
বেছে বেছে ব্যবহৃত
এখানে খুব একটা কাজে আসে না

আপনার API হলো আপনার ডেটার সদর দরজা

API-এর বেশিরভাগ গুরুতর ত্রুটি অস্বাভাবিক কিছু নয়। একজন ব্যবহারকারী একটি ID বদলে অন্য কারও রেকর্ড পড়ে ফেলেন, কোনো এন্ডপয়েন্ট স্ক্রিনে দেখানোর চেয়ে বেশি ফিল্ড ফেরত দেয়, অথবা রেট লিমিট না থাকায় ব্রুট ফোর্স ও স্ক্র্যাপিংয়ের সুযোগ তৈরি হয়। আপনার API আপনার নিজস্ব অ্যাপ, পার্টনার বা গ্রাহক, যাদের জন্যই হোক, আমরা OWASP নির্দেশিকা অনুসরণ করে আপনার লিখিতভাবে অনুমোদিত স্কোপের মধ্যে সেটি টেস্ট করি। আপনি পাবেন রিপ্রোডিউস করা যায় এমন ফাইন্ডিং ও ফিক্সের নির্দেশনা, আর আপনার ফিক্স সম্পন্ন হলে আমরা রিটেস্ট করি।

AI-সহায়তায় কভারেজ, ম্যানুয়ালি নিশ্চিত করা ফাইন্ডিং

AI যেভাবে সহায়তা করে

কী টেস্ট করা হবে, তা পরিকল্পনা করতে আপনার API স্পেসিফিকেশন, কোড ও ট্রাফিক থেকে এন্ডপয়েন্ট, প্যারামিটার ও রোলের ম্যাপ তৈরি করে।
কোন রোল কার ডেটায় কী কল করতে পারে, তার অথরাইজেশন টেস্ট ম্যাট্রিক্স তৈরি করে, যা ধরে টেস্টাররা একে একে যাচাই করেন।
প্রতিটি এন্ডপয়েন্টের স্কিমা ও ব্যবসায়িক নিয়ম থেকে ফাজিং ইনপুট ও অপব্যবহারের কেসের খসড়া তৈরি করে।
কোনো সমস্যা নিশ্চিত হলে কোড ও লগে অন্য কোথাও একই ত্রুটি আছে কি না, তা খুঁজে দেখে।

আমাদের বিশেষজ্ঞদের দায়িত্ব

সিকিউরিটি ইঞ্জিনিয়াররা আপনার সাথে মিলে স্কোপ ও এনগেজমেন্টের নিয়ম ঠিক করেন; টেস্টিং থাকে আপনার অনুমোদনের সীমার মধ্যেই।
রিপোর্ট করার আগে প্রতিটি ফাইন্ডিং ম্যানুয়ালি রিপ্রোডিউস করা হয়। স্ক্যানারের কাঁচা আউটপুট ফাইন্ডিং হিসেবে চালিয়ে দেওয়া হয় না।
ব্যবসায়িক লজিকের অপব্যবহার, যেমন পেমেন্টের কোনো ধাপ এড়িয়ে যাওয়া, টেস্ট করেন এমন মানুষ, যাঁরা আগে আপনার ওয়ার্কফ্লো ভালোভাবে বুঝে নেন।
তীব্রতা নির্ধারণ করা হয় আপনার ডেটা ও ব্যবহারকারীদের ওপর প্রকৃত প্রভাবের ভিত্তিতে, আর ফিক্সের পরামর্শ হয় আপনার ফ্রেমওয়ার্কের উপযোগী।

আপনি কী পাবেন

যাচাই করা ফাইন্ডিংসহ অনুমোদিত API টেস্টিং

API অ্যাটাক সারফেস ম্যাপ
এন্ডপয়েন্ট, মেথড, রোল, ডেটা ফ্লো ও তৃতীয় পক্ষের সংযোগের ডকুমেন্টেশন, টেস্টিংয়ের সময় পাওয়া অনথিভুক্ত এন্ডপয়েন্টসহ।
অথরাইজেশন টেস্টিং
বিভিন্ন রোল ও টেন্যান্টজুড়ে অবজেক্ট ও ফাংশন লেভেলের অ্যাক্সেস চেক, যাতে খুঁজে বের করা যায় কোথায় একজন ব্যবহারকারী অন্য ব্যবহারকারীর ডেটা বা অ্যাকশনে পৌঁছাতে পারেন।
অথেনটিকেশন ও টোকেন রিভিউ
লগইন, পাসওয়ার্ড রিসেট, সেশনের মেয়াদ, মাল্টি-ফ্যাক্টর ফ্লো, এবং JWT, OAuth ও API কী-এর মতো টোকেনের হ্যান্ডলিংয়ে দুর্বলতা যাচাই।
ইনপুট, এক্সপোজার ও অপব্যবহারের চেক
ইনজেকশন, ম্যাস অ্যাসাইনমেন্ট, রেসপন্সে অতিরিক্ত ডেটা, রেট লিমিটিং, এবং GraphQL কোয়েরির ডেপথ, ব্যাচিং ও ইন্ট্রোস্পেকশনের নিয়ন্ত্রণ।
ফিক্সসহ ফাইন্ডিং রিপোর্ট
প্রতিটি সমস্যা OWASP API Security Top 10-এর সাথে মেলানো, রিপ্রোডিউস করার ধাপ, প্রভাব, তীব্রতা এবং আপনার ফ্রেমওয়ার্কের জন্য ফিক্সের নির্দেশনাসহ।
রিটেস্ট ও রিগ্রেশন চেক
ফিক্সগুলো কাজ করছে কি না, তা নিশ্চিত করতে রিটেস্ট করা হয়, আর মূল সিকিউরিটি চেকগুলো আপনার অটোমেটেড টেস্টে যোগ করা হয়, যাতে একই ত্রুটি ফিরে এলে ধরা পড়ে।

একটি API সিকিউরিটি মূল্যায়ন যেভাবে চলে

01
স্কোপ ও অনুমোদন
এন্ডপয়েন্ট, এনভায়রনমেন্ট, টেস্ট অ্যাকাউন্ট ও এনগেজমেন্টের নিয়ম লিখিতভাবে ঠিক করা। আপনার অনুমোদন ছাড়া কোনো কিছুই টেস্ট করা হয় না।
02
ম্যাপ ও পরিকল্পনা
স্পেসিফিকেশন, কোড ও ট্রাফিক থেকে এন্ডপয়েন্ট, রোল ও ডেটা ফ্লোর ম্যাপ তৈরি করা, তারপর সবচেয়ে ঝুঁকিতে থাকা ডেটা ও অ্যাকশনকে কেন্দ্র করে টেস্টের পরিকল্পনা করা।
03
টেস্ট ও নিশ্চিতকরণ
অটোমেটেড স্ক্যানের সাথে অথরাইজেশন, অথেনটিকেশন, ইনপুট হ্যান্ডলিং ও অপব্যবহারের কেসের ম্যানুয়াল টেস্টিং মেলানো। প্রতিটি ফাইন্ডিং নিশ্চিত করা।
04
রিপোর্ট, ফিক্স, রিটেস্ট
ফিক্সের নির্দেশনাসহ রিপ্রোডিউস করা যায় এমন ফাইন্ডিং ডেলিভার করা, আপনি চাইলে ফিক্সে সাহায্য করা, তারপর রিটেস্ট করে রিগ্রেশন চেক যোগ করা।

AI টুল নিয়ে কাজের দুটি উপায়

AI টেস্টের খসড়া তৈরি ও ত্রুটি অনুসন্ধানে সাহায্য করে। এটি আপনার কোড ও টেস্ট ডেটা কোথায় প্রসেস করতে পারবে, তা বেছে নিন।

প্রাইভেট / লোকাল AI ইঞ্জিনিয়ারিং
আপনার নিয়ন্ত্রণাধীন ইনফ্রাস্ট্রাকচারে বা সম্মত একটি আইসোলেটেড এনভায়রনমেন্টে প্রাইভেটভাবে হোস্ট করা মডেল।
এই প্যাকেজ নিয়ে আলোচনা করুন
Claude Code / OpenAI Codex ইঞ্জিনিয়ারিং
আপনার প্রতিষ্ঠানের অনুমোদিত ক্লাউড সেটিংসে Claude Code এবং/অথবা OpenAI Codex।
এই প্যাকেজ নিয়ে আলোচনা করুন

নিশ্চিত নন? স্কোপিংয়ের সময় আমরা একটি সুপারিশ করব। AI ব্যবহারের বিকল্প তুলনা করুন

সাধারণত যে ধরনের API সিকিউরিটি অনুরোধ আসে

যে ধরনের পরিস্থিতি আমরা সাধারণত স্কোপ করি; এগুলো ক্লায়েন্টের কেস স্টাডি নয়।

টিম ওয়ার্কস্পেস যোগ করার পর টেন্যান্ট চেক
একটি SaaS প্রোডাক্টে টিম ওয়ার্কস্পেস যোগ হয়েছে, তাই এখন প্রতিটি কোয়েরিতে টেন্যান্ট চেক প্রয়োজন। একটি টেন্যান্ট অন্য টেন্যান্টের ডেটা পড়তে বা বদলাতে পারে কি না, তা দেখতে আমরা প্রতিটি রোলে আলাদা আলাদা টেন্যান্টের অ্যাকাউন্ট দিয়ে টেস্ট করি, এবং ফিক্স শিপ হলে রিটেস্ট করি।
বাইরের ডেভেলপারদের জন্য API কী
একটি কোম্পানি বাইরের ডেভেলপারদের API কী দেওয়ার পরিকল্পনা করছে। কী-গুলোর স্কোপ কীভাবে নির্ধারণ করা হয় এবং সেগুলো কীভাবে রোটেট ও বাতিল করা হয়, আমরা তা যাচাই করি, একটি কী তার নির্ধারিত স্কোপের বাইরে কোথায় পৌঁছাতে পারে, তা টেস্ট করি, এবং রেট লিমিট যে প্রতিটি কী-এর জন্য আলাদাভাবে প্রযোজ্য হয়, তা নিশ্চিত করি।
যে চেকআউট API অ্যাপের ওপর ভরসা করে
একটি স্টোরের চেকআউট API অ্যাপ যেভাবে পাঠায়, সেভাবেই মোট মূল্য ও ডিসকাউন্ট কোড গ্রহণ করে। একটি পরিবর্তিত রিকোয়েস্ট দাম বদলাতে, একটি কোড আবার ব্যবহার করতে বা পেমেন্টের ধাপ এড়িয়ে যেতে পারে কি না, আমরা তা টেস্ট করি, এবং প্রতিটি ফাইন্ডিং হাতে-কলমে যাচাই করে নিশ্চিত করি।

API টেস্টিং যা কভার করে না

ওয়েব ফ্রন্টএন্ড, ক্লাউড সেটিংস এবং একাধিক সিস্টেমজুড়ে ধাপে ধাপে চালানো আক্রমণ কভার করে পেনেট্রেশন টেস্টিং; এখানে টার্গেট হলো API।
এন্ডপয়েন্ট নতুন করে ডিজাইন করা বা API নতুন করে তৈরি করা এতে অন্তর্ভুক্ত নয়; কাঠামোগত ফিক্স API ডেভেলপমেন্টের আওতায় স্কোপ করা যেতে পারে।
আপনি যেসব সার্ভিস কল করেন কিন্তু যেগুলোর মালিক আপনি নন, সেগুলো স্কোপের বাইরে থাকে, যদি না সেগুলোর মালিক সম্মত হন; তার বদলে আমরা টেস্ট করি, সেগুলোর এরর আপনার API কীভাবে সামলায়।
API-এর সোর্স কোড পুরোপুরি পড়ে দেখা কোড অডিট ও রিভিউয়ের কাজ; এখানে কোড ব্যবহার করা হয় ফাইন্ডিং খুঁজে বের করতে ও নিশ্চিত করতে।

ডিজাইন, QA ও পরিচালনার সাথে API সিকিউরিটি যেভাবে যুক্ত

ডিজাইন: নিরাপদ ও স্পষ্ট এরর স্টেট
ডিজাইনার ও ইঞ্জিনিয়াররা মিলে এমন এরর ও অনুমতি-প্রত্যাখ্যানের মেসেজ ঠিক করেন, যা আক্রমণকারীর কাছে ভেতরের তথ্য প্রকাশ না করেই ব্যবহারকারীদের সাহায্য করে।
QA: প্রতিটি রিলিজে সিকিউরিটি
অথরাইজেশন ও ইনপুট চেক রিগ্রেশন স্যুটে যুক্ত হয়, ফলে নতুন এন্ডপয়েন্ট ও AI-জেনারেটেড পরিবর্তনও একইভাবে টেস্ট করা হয়।
পরিচালনা: মনিটরিং ও সিক্রেট
ফাইন্ডিংয়ের ভিত্তিতে আপনার DevOps টিমের সাথে মিলে সেটআপ করা হয় API লগিং, সন্দেহজনক ব্যবহারের অ্যালার্ট, সিক্রেট রোটেশন ও গেটওয়ে রেট লিমিট।
চলমান: API বাড়ার সাথে সাথে রিটেস্ট
আপনার সাথে সম্মত সময়সূচিতে নতুন এন্ডপয়েন্ট ও বড় রিলিজগুলো রিভিউ ও রিটেস্ট করা হয়, যাতে কভারেজ API-এর সাথে তাল মিলিয়ে চলে।

প্রশ্নোত্তর

সাধারণ প্রশ্নাবলী

REST API-এর পাশাপাশি কি আপনারা GraphQL-ও টেস্ট করেন?

হ্যাঁ। GraphQL-এ বাড়তি মনোযোগ দরকার: ইন্ট্রোস্পেকশন উন্মুক্ত থাকা, কোয়েরির ডেপথ ও জটিলতার সীমা, ব্যাচিংয়ের অপব্যবহার এবং ফিল্ড লেভেলের অথরাইজেশন। আপনার অনুমোদিত স্কোপের মধ্যে আমরা দুটোই টেস্ট করি।

API সিকিউরিটি মূল্যায়ন কি আমাদের কমপ্লায়েন্ট করে তুলবে?

শুধু এটি দিয়ে নয়; কোনো টেস্টই তা পারে না। আমরা আপনার কমপ্লায়েন্সের কাজে সহায়তা করি: টেস্টিং OWASP নির্দেশিকা অনুসরণ করে, রিপোর্ট এমনভাবে লেখা হয় যাতে অডিটর ও আপনার গ্রাহকদের সিকিউরিটি টিম তা রিভিউ করতে পারে, আর রিটেস্টের ফলাফল সমস্যাগুলো যে ঠিক করা হয়েছে, তার প্রমাণ প্রস্তুত করতে আপনাকে সাহায্য করে।

দুর্বলতাগুলো কি আপনারা ঠিকও করতে পারেন?

হ্যাঁ। আমাদের ইঞ্জিনিয়াররা ফিক্স বাস্তবায়ন করতে পারেন, আপনার ডেভেলপারদের পাশাপাশি কাজ করতে পারেন অথবা আপনার ফিক্সের পুল রিকোয়েস্ট রিভিউ করতে পারেন। যেভাবেই হোক, আমরা প্রতিটি ফিক্স রিটেস্ট করি এবং রিগ্রেশন চেক যোগ করি, যাতে ফিক্সটি কাজ করছে, তার প্রমাণ আপনার কাছে থাকে।

AI টুল কি আমাদের API স্পেসিফিকেশন ও ফাইন্ডিং দেখতে পায়?

কেবল আপনার বেছে নেওয়া সীমানার ভেতরে, কারণ সিকিউরিটি ফাইন্ডিং সংবেদনশীল। প্রাইভেট / লোকাল AI ইঞ্জিনিয়ারিংয়ে মডেল চলে আপনার নিয়ন্ত্রণাধীন ইনফ্রাস্ট্রাকচারে বা আপনার সাথে মিলে ঠিক করা একটি আইসোলেটেড এনভায়রনমেন্টে। Claude Code / OpenAI Codex ইঞ্জিনিয়ারিংয়ে বাণিজ্যিক প্রোভাইডাররা ডেটা প্রসেস করে সম্মত অ্যাকাউন্ট ও রিটেনশনের শর্তের অধীনে। যেখানেই সম্ভব, আমরা টেস্ট অ্যাকাউন্ট ও সিন্থেটিক ডেটা ব্যবহার করি।