API Gateway: architettura e sicurezza

TL; DR

Il gateway API è l'unico punto di riferimento (authz, rate, trasformazioni, verifiche) e il limite della fiducia tra il mondo esterno e i servizi. Il successo è Zero-Trust (mTLS/JWT), policy-as-code, controllo del traffico orientato SLO e osservazione ortogonale. Costruisci edge gateway → BFF → service mesh; tenete la versioning e le bandiere fich; automatizzare la protezione di webhoop e chiavi testate le release canarie.

1) Ruoli e pattern di posizionamento

Edge/API Gateway (north-south) - Limite esterno. Termination TLS, WAF, DDoS, authN/Z, rate/quote, CORS, trasformazioni, cache, webhooks.
BFF (Backend-for-Frontend) - Livello di adattamento per client specifici (web/mobile/partners). Schemi, aggregazioni, limiti, cache delle risposte.
Internal Gateway (east-west )/Service Mesh Ingress - Autorizzazione interna servizio-a-servizio, mTLS, regole-routing.
gateway gRPC/REST/GraphQL, un unico punto del trasmettitore protocollare e dei circuiti di validazione.

Anti-pattern: «tutto attraverso un gateway monolitico senza isolamento degli ambienti», «logica aziendale nascosta nei plugin», «gestione manuale delle regole».

2) Modello di affidabilità e autenticazione

TLS 1. 2+/1. 3 sul perimetro, HSTS su domini pubblici; all'interno c'è un mTLS tra il gateway e i servizi.
OAUTh2/OIDC: Code authorization (PKCE) per i clienti; client-credentials per le integrazioni server JWT con TTL breve e rotazione chiavi (JWKS).
Firma HMAC per partnership e webhoop (chiave per client, SHA-256/512, controllo timestamp e anti-replay).
Chiavi API - solo come fattore/tracking limitare scope, IP, scadenza.

• Separare il authN (chi) e il authZ (che è possibile). Utilizzare gli attributi (scopes, roles, tenant, risk flags).
• Tutti i token sono con aud/iss/exp/nbf; clock-skew ≤ 60s; kid obbligatorio e cache JWKS di 5 minuti

3) Autorizzazioni e regole (Zero-Trust)

ABAC/RBAC nel gateway: regole sopra clims + contesto di query (IP/ASN/geo/tenant).
Policy-as-Code (ad esempio, OPA/Rego) - Conservazione delle regole in Git, convalida CI, scartoffie canarie.
Multi-locazione: isolamento per X-Tenant-ID, SSO al confine tenant; quote/limiti per affittuario.

4) Gestione del traffico e affidabilità

Rate limiting: leaky/token bucket, granularità: chiave/tenant/route/BIN/paese (per API di pagamento).
Quote: diurni/mensili, separati per operazioni pesanti (ad esempio report).
Burst control e dynamic throttling basato su carico e SLO.
Circuito breaker: apertura in caso di errori/latitanza; outlier detection per upstream.
Retry with backoff+jitter; Idimpotenza: chiave «Idempotency-Key» + finestra TTL + Memorizzazione risultati.
Timeouts client <gateway <upstream; Punti di riferimento p95 ragionevoli (ad esempio, 1. 5s/3s/5s).
Failover/Canary:% - routing (weighted), sessione-affinity opzionale, blue/green.

5) Trasformazioni e validatori

Diagrammi: OpenAPI/JSON Schema per REST. Protobuf per il gRPC; SDL per GraphQL. Convalida richiest/response sul gateway.
Trapiantare, federation (per BFF).
Header normalizzazione (trace-ids, security headers), response filtering (PII-redazione).
CORS: whitelists, 'Vary'corretto, restrizione "su" Authorization ".
Compression и response caching (ETag/Cache-Control) для safe-GET.

6) Sicurezza perimetro

WAF: regole OWASP Top-10, modello positivo per i root critici, patch virtuali.
Bot-protezione: firme rate-based, device fingerprint, gocce protette per endpoint pubblici.
Scudo DDoS: upstream (cloud) + limiti locali; fogli di blocco geo/ASN.
CSP/Referer-Policy/X-Frame-Options - Se il gateway serve statica/widget.
WebSockets/SSE/WebTransport - profili di limite e timeout separati auth-prolungamento per token.

7) Webhook: sicurezza e spedizione

Ogni destinatario ha un segreto; firma HMAC (signature, timestamp 'path' body); finestra di tempo valida (ad esempio 5 minuti).
Idampotenza in ricezione: Deduplo per «event _ id».
Retrai: esponenziale, massimo N; stato-endpoint per hand-shake.
mTLS/Allow-list IP; possibilità di replay su richiesta con limitazioni.

8) Osservabilità e verifica

Loghi: non logificare i segreti/PAN/PII; «trace _ id »/« span _ id»; occultamento.
Metriche: RPS, errore rate per classe, latency p50/p95/p99, open circuits, retry rate, 4xx vs 5xx, saturation.
Trainer: W3C Trace Text; attraversare «traceparent »/« tracestate» negli upstream.
Controllo: flusso separato «chi e cosa ha causato/modificato», archiviazione invariata; Eventi di criterio (access-denied, quota-hit).

9) Segreti e crittografia

KMS/Vault, rotazione ogni 90 giorni (o più frequentemente), ruoli di lettura separati.
Certificati: rilascio automatico/aggiornamento (ACME), pinning per mobile (TOFU/HPKP-like).
Rotazione JWKS: due chiavi attive (vecchia/nuova), finestre chiare.
Crittoprofili TLS - Preferenza ECDHE, proibizione di codici/protocolli vulnerabili.

10) Complaens e dati

Flusso PAN-safe PCI DSS, tornitura mai procrastinare raw-PAN attraverso plugin.
GDPR/DSAR: routing per regione/tenante, data residency, rimozione/anonimizzazione.
Il limite di esposizione PII è quello di filtrare i campi sul gateway, crittografare le intestazioni sensibili.

11) Topologia e multiregionalità

Self-managed vs Managed (Avvoy/Kong/NGINX vs API cloud). Per il controllo rigoroso/PCl - più spesso self-managed.
Multi-AZ/Multi-Region Active-Active: Global DNS/GSLB, health-based e geo-routing, per-regionali secret-stores.
Piano DR: RPO/RTO, gateway freddo/caldo con policy sinuose.

12) Versioning e evoluzione API

Strategie: URI vN, header-versioning, content-negotion. Per i pubblici è un chiaro deprecation policy (≥6 -12 mes).
Backward-compat: espandere gli schemi aggiungendo campi opzionali I contratti alla Git, i linter.
Canary/Shadow: controllo del traffico nell'ombra della nuova versione, confronto delle risposte.

13) Prestazioni e cache

Cache su edge per le richieste GET/Idempotent; condizioni: ETag/Cache-Control corretti.
Connection pooling agli upstream HTTP/2 tenere acceso; Per il gRPC, il massimo dei benefici.
Payload budget - Vincola le dimensioni dei corpi; gzip/br.
Risposte pre-compute BFF per pannelli/directory ad alta frequenza.

14) Gestione della configurazione

GitOps: manifesti dichiarativi di percorsi/regole; review/CI (lint, security scan); CD con lotti canareschi.
Flag Fiech nel gateway: interruttore rapido di percorsi/regole senza device.
Templi per regole ripetute (OIDC, rate, CORS).

15) Mini snippet (pseudo)

yaml plugins:
- name: idempotency config:
header: Idempotency-Key ttl: 24h storage: redis

yaml
- name: rate-limiting config: {policy: local, minute: 600, key: consumer_id}
- name: response-ratelimiting config: {limits: {"heavy": {minute: 60}}, key: route_id}

yaml
- name: oauth2-introspection config:
jwks_uri: https://idp/.well-known/jwks. json required_scopes: ["payments:write","payments:read"]

yaml
- name: waf config:
mode: block ruleset: owasp_crs exclusions: ["/health", "/metrics"]

pseudo sig = HMAC_SHA256(secret, timestamp + "\n" + method + "\n" + path + "\n" + sha256(body))
assert     now - timestamp     < 300s

16) NFL (NFR) e SLO per gateway

Uptime (mese): ≥ 99. 95% (edge), ≥ 99. 9% (internal).
Latency p95: ≤ 50-100 ms integratori di upstream.
Error budget: ≤ 0. 05% 5xx dal gateway (esclusi gli upstream).
Criteri di protezione: 100% richieste con TLS 0 incidenti di fuga di segreti; MTTR di vulnerabilità delle regole WAF 24h.

17) Assegno-foglio di implementazione

• Mappa architettonica: edge BFF, elenco dei domini/routh.
• TLS/mTLS, rotazione JWKS, segreti in KMS/Vault.
• OAuth2/OIDC, scopes/claims, ABAC/OPA.
• Rate/quote, circuito-breaker, retry/backoff, idimpotenza.
• Schema Value, trasformazioni del .
• Profilo WAF/DDoS/bot, CORS/CSP.
• Protezione webhook: HMAC, anti-replay, allow-list.
• Logi/metriche/trailer; controllo di accesso/modifiche.
• GitOps/policy-as-code; canarini; Il piano DR.
• Controllo PCI/GDPR: maschera, retenze, procedure DSAR.

18) Errori frequenti

Memorizza i segreti nella configurazione gateway/login.
Globale "in CORS/fiducia a tutti" Origin ".
La mancanza di idipotenza e di timeout onesti è stata una ripresa e una valanga.
Un mix di authN e logica aziendale in plugin gateway.
Nessuna rotazione JWKS e nessuna chiave «bloccata» kid.
Osservazione senza correlazione trace: RCA cieco.

Riepilogo

API Gateway non è solo un proxy reverse, ma una piattaforma di politica e sicurezza che supporta prestazioni, compliance e monetizzazione. Costruisci Zero-Trust, fissa i contratti con i circuiti, controlla il traffico tramite lo SLO, automatizza le configurazioni tramite il policy-as-code. Allora il gateway diventerà il «bordo» sostenibile della vostra architettura, non la gola stretta.