REST

Beispiel APIs

Nominatim

API-Dokumentation

„Free-form query“ mit q=

• https://nominatim.openstreetmap.org/search?format=json&q=dresden

„Structured query“ mit city= und optional countrycodes=

• https://nominatim.openstreetmap.org/search?format=json&city=dresden&countrycodes=de

Mit format=xml

• https://nominatim.openstreetmap.org/search?format=xml&city=dresden&countrycodes=de

Ohne format=

• https://nominatim.openstreetmap.org/search?city=dresden&countrycodes=de

Swagger Petstore

Dokumentation

Benötigte Informationen über API-Endpunkte:

• URL (Protokoll, Host, Port, Pfad)
• HTTP-Methode
• Query Parameter
• Request Body
• Request Header (z.B. Authorization)
• Responese Body
  • MimeType (z.B. application/json)
  • Encoding (z.B. UTF-8)
  • Schema (z.B. JSON-Schema, DTD)

Empfehlung: OpenAPI Specification / Swagger zur automatischen Dokumentation verwenden

Beispiel Code

• Node-RED
• Python: ./examples/rest/python/

Sicherheit

OWASP Top 10 Web Application Security Risks

Relevante IT-Grundschutz-Bausteine:

• CON.2 Datenschutz
• CON.8 Software-Entwicklung
• CON.10 Entwicklung von Webanwendungen
• APP.3.1 Webanwendungen und Webservices
• APP.3.2 Webserver

Beispiel

APP.3.1.A21 Sichere HTTP-Konfiguration bei Webanwendungen

Zum Schutz vor Clickjacking, Cross-Site-Scripting und anderen Angriffen SOLLTE der IT-Betrieb geeignete HTTPResponse-Header setzen. Dazu SOLLTEN mindestens die folgenden HTTP-Header verwendet werden:

• Content-Security-Policy,
• Strict-Transport-Security,
• Content-Type,
• X-Content-Type-Options sowie
• Cache-Control

Weitere Infos bei OWASP