功能简介
API 安全是腾讯云 WAF 提供的 API 安全防护能力，覆盖 API 发现、风险检测、事件处置等环节。它基于 WAF 旁路流量镜像进行分析，不影响业务正常转发链路，能够自动发现业务中的 API 资产，持续检测安全风险，并提供风险事件处置和安全策略配置能力。
开启 API 安全开关后，系统自动对域名 API 流量进行识别分析，约 30 分钟内完成首次分析并展示 API 资产列表及统计数据。通常无需改造业务架构，开启开关后待首次分析完成即可使用。
API 暴露面免费体检
尚未开通 API 安全的用户，可通过 API 暴露面免费体检快速了解自身 API 风险。
说明：
每个账号仅10次免费体检次数。
体检功能为基础暴露面扫描，如需完整 API 安全防护能力（实时监控、事件告警、规则配置等），需开通 API 安全模块。
1. 登录 Web 应用防火墙控制台，在左侧导航栏中选择 API 安全。
2. 单击开始体检，在体检弹窗中选择协议、待检测域名和端口。
说明：
待检测域名仅限已在 WAF 接入或发现的域名。
3. 确认体检信息后，单击开始体检，系统调用暴露面管理接口进行扫描，约5~10分钟后完成体检。
4. 体检完成后，单击报告详情，查看体检报告，包含域名风险等级、发现 API 数量、风险 API 数量等信息。
开通方式
1. 登录 Web 应用防火墙控制台，在左侧导航栏中，选择接入管理 > 实例管理。
2. 找到需要开通 API 安全的实例，单击扩展与增值 > API 安全。
3. 在开通弹窗中勾选开通 API 安全，购买业务扩展包，单击立即购买。
说明：
功能详解
API 安全功能包含以下四个子功能页面：
功能页面 | 核心能力 | 功能说明 |
安全态势感知 | 数据看板，展示 API 资产概览、风险概况、TOP5 统计和趋势图表，帮助快速掌握 API 安全态势 | |
API 资产全生命周期管理 | 基于流量自动识别 API 资产，包括影子 API。 通过资产树结构化展示各域名 API 路径、请求方式、调用量等。 支持资产加白、屏蔽、标注活跃/失活状态。 | |
安全事件监控与处置 | 展示 API 安全检测到的安全事件，覆盖业务异常、权限异常、账号异常、Web 攻击等。 支持事件分类、批量操作、状态流转。 | |
防护策略精细化管理 | 提供安全策略规则的启用、配置与管理，包含以下几类规则： 安全事件检测规则（系统内置 + 自定义） 敏感检测规则（系统内置 + 自定义） 鉴权凭据识别规则（自定义配置） 限流规则（自定义配置） 入参检测规则（Swagger 导入 + 手动添加） 功能场景识别规则（系统内置 + 自定义） API 资产发现规则（自定义配置） 敏感数据加白（自定义配置） 无效资产屏蔽（自定义配置） 说明： 系统内置规则数量持续更新中，具体规则项以控制台页面为准。 |
应用场景
场景 | 痛点 | 推荐能力 |
API 资产梳理与影子 API 发现 | 企业 API 数量庞大缺乏有效管理手段，大量未登记在册的影子 API 暴露在公网上 | API 资产自动发现 + 功能场景识别 |
敏感数据防泄漏 | API 响应中可能包含身份证、手机号、银行卡号等敏感信息，如未脱敏可能导致数据泄露合规风险 | 敏感数据识别 + 敏感检测规则 |
越权风险检测 | API 接口缺少鉴权机制或鉴权不严格，可能导致未授权访问、水平越权等安全风险 | 鉴权分析 + 鉴权凭据识别规则 |
接口限流防滥用 | API 接口被恶意爬取或刷取，导致后端资源耗尽、业务异常 | 访问频率限流 + 限流规则 |
安全合规审计 | 企业面临等保、GDPR、行业监管等合规要求，需要证明 API 安全防护措施符合监管要求 | 风险事件检测 + 规则配置审计 |
