API-management omvat gateways die API-verkeer routeren en beveiligen, tools om API's te publiceren en van versies te voorzien, ontwikkelaarsportalen en API-beveiliging en -monitoring. Organisaties gebruiken ze om diensten beschikbaar te stellen aan partners en applicaties, authenticatie, rate limiting en quota centraal toe te passen en overzicht te houden over wat er is ontsloten.
Een gateway beëindigt het verkeer voor uw diensten, dus tokens, sleutels en payloads passeren onversleuteld, en een gehoste control plane ziet hoe uw systemen met elkaar praten. Waar de gateway draait en wie hem beheert, bepaalt dus wie kritieke stromen kan inzien of onderbreken. Afhankelijkheid zit vaak in leverancierspecifieke beleidstalen, plug-ins en portalaanpassingen die u bij een overstap opnieuw moet bouwen. De OWASP API Security Top 10 noemt risico's als gebrekkige autorisatie, onbeperkt resourceverbruik en slecht inventarisbeheer, juist de gebieden waar een gateway moet helpen.
Kijk bij een Europese optie of de gateway in uw eigen cloud of on-premises kan draaien met een control plane die u ook zelf host, of standaardspecificaties zoals OpenAPI worden ondersteund, hoe sleutels en geheimen worden opgeslagen, hoe logging tot het noodzakelijke beperkt kan worden en of de kern open source is, zodat configuratie mee kan verhuizen.