Un'applicazione disaccoppiata separa il front end rivolto agli utenti dal back end che archivia i dati e applica le regole aziendali. I due componenti comunicano tramite API anziché essere forniti come un'unica interfaccia integrata. Per esempio, un negozio online può usare un'app mobile o un'interfaccia web personalizzata che richiede prodotti e ordini a una piattaforma di commercio elettronico.
Questa architettura può supportare più interfacce, ma ogni API diventa parte della superficie di attacco. I controlli di sicurezza, come l'autenticazione, l'autorizzazione e la convalida degli input, devono essere applicati nel back end e non dati per scontati sulla base dell'interfaccia visibile. Negli attacchi reali, una falla nel controllo delle autorizzazioni di un'API può consentire a un utente di compiere azioni soggette a restrizioni anche se la normale vetrina online le blocca. I difensori dovrebbero censire gli endpoint API esposti, applicare gli aggiornamenti, verificare le regole di accesso e monitorare l'attività basata sulle API con la stessa attenzione riservata ai flussi di lavoro tramite browser.