La governance delle API è l'insieme di policy, standard e controlli tecnici che regolano come le interfacce di programmazione delle applicazioni vengono progettate, pubblicate, autenticate, autorizzate e monitorate. Aiuta a impedire che le API espongano più dati o funzionalità di quanto dovrebbero, soprattutto nei servizi cloud, nelle piattaforme SaaS e nei flussi di lavoro IA, dove le API sono spesso il principale percorso dei dati.
Nella sicurezza informatica, la governance delle API è importante perché controlli deboli possono portare a autorizzazione a livello di oggetto non corretta, condivisione eccessiva dei dati, shadow API e integrazioni non tracciate. Le difese includono in genere inventario delle API, accesso con privilegi minimi, convalida dello schema, limitazione della velocità, logging, gestione dei segreti e revisione dei campi dati restituiti da ciascun endpoint. Gli attaccanti spesso abusano di endpoint non documentati o di token eccessivamente permissivi per estrarre record, modificare la logica di business o spostarsi lateralmente attraverso i servizi collegati. Una buona governance rende l'accesso alle API intenzionale, verificabile e più difficile da abusare.