Una risposta API è il dato che un server invia in ritorno dopo che un client ha effettuato una richiesta. Può essere un oggetto JSON, un codice di stato, intestazioni oppure un messaggio di errore. Nei sistemi sicuri, la risposta dovrebbe includere solo le informazioni di cui il client ha realmente bisogno.
Le risposte API sono importanti perché sono un punto comune di esposizione accidentale dei dati. Se una risposta include segreti come OTP, token di sessione, ID interni o dati personali, un attaccante che può chiamare l'endpoint potrebbe essere in grado di leggerli direttamente. Questo può trasformare un normale flusso di accesso, reimpostazione della password o ricerca dell'account in un percorso di acquisizione dell'account.
I difensori riducono il rischio definendo schemi di risposta rigorosi, filtrando i campi sensibili, verificando l'autorizzazione prima di restituire i dati e mascherando i segreti nei log e nelle tracce di debug. La progettazione sicura delle API non riguarda solo il blocco delle richieste; riguarda anche il garantire che il server non invii mai più informazioni del necessario.