Un proxy API è un servizio intermediario che riceve le chiamate API da un client e le inoltra a un'applicazione upstream o a un endpoint di un fornitore. Può riscrivere gli header, cambiare i percorsi, imporre l'autenticazione, memorizzare nella cache le risposte, limitare la frequenza del traffico o registrare le richieste prima di ritrasmetterle. In altre parole, il proxy si trova nel mezzo della conversazione e può modificare il modo in cui la richiesta viene gestita.
I proxy API sono importanti perché modificano il confine di fiducia. Se gli utenti pensano di parlare direttamente con un servizio ma in realtà stanno usando un proxy di terze parti, quell'intermediario può vedere prompt, credenziali e metadati, e può anche influire su fatturazione, latenza e disponibilità. I difensori usano i proxy per il controllo e l'osservabilità, mentre gli aggressori o rivenditori non autorizzati possono usarli per nascondere il vero endpoint, deviare il traffico o inserirsi nel percorso dei dati. Quando esamini una connessione API, verifica sempre chi gestisce il proxy e cosa fa con il traffico.