nieautoryzowane żądanie do endpointa

Nieautoryzowane żądanie do endpointa to wywołanie interfejsu API bez ważnych danych uwierzytelniających.

Co endpoint rozumie przez nieautoryzowane żądanie

Endpoint to konkretny adres interfejsu API, pod którym aplikacja udostępnia określoną operację, na przykład odczyt danych, utworzenie rekordu albo przesłanie pliku. Żądanie staje się nieautoryzowane, gdy klient nie przekazuje wymaganych danych uwierzytelniających, przekazuje dane nieaktualne, uszkodzone lub niezgodne z konfiguracją usługi. Typowym przykładem jest wywołanie adresu API bez nagłówka Authorization, z pustym kluczem API albo z tokenem, którego termin ważności już minął.

Uwierzytelnienie odpowiada na pytanie, kto wysyła żądanie, natomiast autoryzacja określa, do jakich operacji ten podmiot ma dostęp. Sam fakt posiadania poprawnego tokenu nie musi więc oznaczać prawa do wykonania każdej operacji. Endpoint może dodatkowo sprawdzać zakres uprawnień, identyfikator użytkownika, metodę HTTP, adres zasobu lub inne reguły dostępu. Błąd może wystąpić zarówno przy bezpośrednim użyciu przeglądarki, jak i podczas pracy programu korzystającego z API w tle.

Statusy HTTP związane z brakiem autoryzacji

Najczęściej spotykanym statusem przy braku poprawnych danych uwierzytelniających jest 401 Unauthorized. W praktyce oznacza on, że serwer nie uznał przedstawionej tożsamości klienta albo nie otrzymał wymaganych danych logowania. Przy tym statusie serwer może użyć nagłówka WWW-Authenticate, aby wskazać oczekiwany mechanizm uwierzytelnienia. Sama treść komunikatu nie powinna być jednak traktowana jako dowód, że problem leży wyłącznie po stronie hasła; przyczyną może być także błędny nagłówek, niewłaściwy adres API lub niepoprawnie zbudowane żądanie.

Status 403 Forbidden ma inne znaczenie. Oznacza, że serwer rozpoznał klienta albo przynajmniej otrzymał dane pozwalające przeprowadzić kontrolę dostępu, lecz odmawia wykonania operacji. Może to wynikać z braku odpowiedniego zakresu uprawnień, dostępu do konkretnego zasobu lub spełnienia warunku bezpieczeństwa. Z kolei status 404 Not Found może oznaczać nieistniejący endpoint, błędną ścieżkę albo celowe ukrywanie informacji o zasobie. Dlatego diagnoza wymaga porównania kodu odpowiedzi, nagłówków, metody HTTP i treści komunikatu zwróconego przez usługę.

Tokeny, klucze i przebieg kontroli dostępu

W wielu interfejsach API klient przesyła token jako Authorization: Bearer. Serwer sprawdza wtedy między innymi podpis lub źródło tokenu, jego termin ważności, odbiorcę oraz zakres uprawnień. W modelu OAuth 2.0 sposób użycia tokenu typu Bearer opisuje RFC 6750. Token może zostać odrzucony, gdy został wydany dla innej usługi, użyto niewłaściwego środowiska, pominięto wymagany prefiks albo aplikacja wysłała starą wartość zapisaną w pamięci podręcznej.

Niektóre usługi używają kluczy API przekazywanych w nagłówku lub parametrze żądania. Nazwa nagłówka, format klucza i sposób jego rotacji zależą od konkretnej implementacji, dlatego nie należy zamieniać klucza API na token Bearer bez sprawdzenia dokumentacji danego endpointa. Dane uwierzytelniające powinny być przesyłane przez połączenie HTTPS, ponieważ TLS chroni je przed odczytem podczas transmisji. W logach warto rejestrować czas, adres endpointa, metodę, kod odpowiedzi i identyfikator żądania, ale nie pełne tokeny, klucze ani hasła.

Sprawdzanie problemu na laptopie lub komputerze PC

Podczas diagnostyki należy najpierw ustalić, czy błąd występuje we wszystkich żądaniach, czy tylko przy jednej operacji. Pomaga porównanie konfiguracji adresu API, metody HTTP, nagłówków oraz zegara systemowego. Nieprawidłowa data i godzina może powodować odrzucenie tokenu opartego na czasie, mimo że sam token został wygenerowany prawidłowo. Trzeba także sprawdzić, czy program korzysta z aktualnych danych konfiguracyjnych, czy nie używa starej wartości zapisanej w pamięci podręcznej oraz czy odpowiedź nie pochodzi z pośredniego serwera lub lokalnego mechanizmu proxy.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki oprogramowania można sprawdzić również, czy lokalny program prawidłowo komunikuje się z używanym endpointem. Analiza powinna obejmować dzienniki aplikacji, dokładny kod HTTP, moment wygaśnięcia tokenu i zgodność konfiguracji z wymaganiami usługi. Jeżeli po odnowieniu danych uwierzytelniających nadal występuje 401 lub 403, przyczyną może być błąd uprawnień po stronie konta albo niezgodność żądanej operacji z dokumentacją API, a nie awaria samego komputera.