API-Management umfasst Gateways, die API-Verkehr leiten und absichern, Werkzeuge zum Veröffentlichen und Versionieren von APIs, Entwicklerportale sowie API-Sicherheit und -Monitoring. Organisationen nutzen sie, um Dienste für Partner und Anwendungen bereitzustellen, Authentifizierung, Ratenbegrenzung und Kontingente zentral durchzusetzen und den Überblick über das Veröffentlichte zu behalten.
Ein Gateway beendet den Verkehr vor Ihren Diensten, sodass Tokens, Schlüssel und Nutzdaten im Klartext durchlaufen, und eine gehostete Control Plane sieht, wie Ihre Systeme miteinander kommunizieren. Wo das Gateway läuft und wer es betreibt, entscheidet daher, wer kritische Datenflüsse beobachten oder unterbrechen kann. Abhängigkeit steckt meist in herstellerspezifischen Richtliniensprachen, Plug-ins und Portalanpassungen, die Sie bei einem Wechsel neu aufbauen müssen. Die OWASP API Security Top 10 nennt Risiken wie fehlerhafte Autorisierung, unbegrenzten Ressourcenverbrauch und mangelhafte Bestandsverwaltung, also genau die Bereiche, die ein Gateway mit absichern sollte.
Prüfen Sie bei einer europäischen Lösung, ob das Gateway in Ihrer eigenen Cloud oder On-Premises mit einer selbst gehosteten Control Plane laufen kann, ob Standardspezifikationen wie OpenAPI unterstützt werden, wie Schlüssel und Geheimnisse gespeichert werden, wie sich die Protokollierung auf das Nötige begrenzen lässt und ob der Kern Open Source ist, damit die Konfiguration mitziehen kann.