Una sessione API è una connessione autenticata valida a un'interfaccia di programmazione delle applicazioni. Nella gestione dei dispositivi, è lo stato che dimostra che un chiamante ha già superato l'autenticazione ed è autorizzato a inviare richieste di gestione. Le sessioni possono essere create con cookie, token bearer, richieste firmate o altre credenziali, e spesso includono privilegi come la lettura dello stato, la modifica delle impostazioni o l'esecuzione di comandi di manutenzione.
Le sessioni API sono importanti perché definiscono il confine di fiducia per le funzioni amministrative. Se un aggressore può rubare, indovinare o aggirare la creazione della sessione, può ottenere lo stesso controllo di un operatore legittimo. Negli attacchi reali, difetti come bypass dell'autenticazione, session fixation, gestione debole dei token o injection di comandi in una API di gestione possono trasformare una richiesta non attendibile in una privilegiata. I difensori proteggono le sessioni API con autenticazione forte, durata breve, convalida dei token, principio del privilegio minimo, registrazione degli eventi e segmentazione della rete attorno alle interfacce di gestione.