Una API route è un endpoint nominato che un'applicazione espone per ricevere richieste specifiche, come la lettura dei dati, la modifica delle impostazioni o l'esecuzione di azioni amministrative. Le route sono i percorsi che un client HTTP richiama, di solito associati a un metodo come GET, POST o DELETE, e spesso corrispondono direttamente a una funzione nel servizio.
Nella sicurezza informatica, le API route sono importanti perché ciascuna crea un potenziale confine di fiducia. Una route di gestione destinata solo agli amministratori dovrebbe richiedere un'autenticazione e un'autorizzazione solide; se questo controllo manca, un attaccante potrebbe raggiungere operazioni sensibili, come l'importazione di codice, la modifica della configurazione o l'estrazione di dati. I difensori esaminano le route per assicurare il principio del privilegio minimo, separare gli endpoint pubblici da quelli privati e bloccare l'esposizione non prevista alla rete o ai servizi accessibili solo da localhost. Gli attaccanti spesso sondano le route indovinando percorsi comuni, eseguendo fuzzing dei parametri o abusando di route destinate solo all'uso interno.