Un API gateway è un livello middleware che si colloca tra i client e i servizi backend. Riceve le richieste, applica le policy e instrada il traffico al servizio corretto o al provider upstream. Le funzioni comuni includono autenticazione, autorizzazione, limitazione della velocità, convalida delle richieste, registrazione e, talvolta, trasformazione della risposta o traduzione del protocollo.
Nella sicurezza informatica, un API gateway è importante perché diventa un punto di controllo di alto valore. Se è configurato in modo errato, gli attaccanti possono aggirare i controlli di accesso, abusare degli endpoint esposti o raccogliere dati sensibili dai log e dalle tracce. Se viene compromesso, il gateway può rivelare chiavi API, token e dettagli dei servizi interni, oppure essere usato per reindirizzare il traffico. I difensori usano i gateway per applicare regole di sicurezza coerenti, monitorare gli abusi e ridurre la superficie di attacco mantenendo i servizi backend fuori da Internet pubblico. Nei moderni sistemi di IA e cloud, il gateway diventa spesso il collo di bottiglia in cui si incontrano routing, fatturazione e governance.