Il commercio headless è un’architettura di e-commerce che separa la vetrina rivolta ai clienti dai sistemi backend che gestiscono prodotti, prezzi, carrelli e ordini. Le due parti comunicano comunemente tramite API, consentendo a un’azienda di utilizzare interfacce diverse, come un sito web, un’app per dispositivi mobili o un chiosco, con gli stessi servizi di commercio.
Questa separazione può migliorare la flessibilità, ma crea anche confini di sicurezza che devono essere protetti. Gli endpoint API e le route del backend necessitano di controlli affidabili di autenticazione e autorizzazione; una vulnerabilità può consentire alle richieste di modificare i dati degli ordini o richiamare funzioni di commercio anche quando la vetrina sembra sicura. I responsabili della difesa dovrebbero applicare tempestivamente le patch alle piattaforme di commercio, limitare e monitorare l’accesso alle API e controllare i log dell’applicazione e i registri degli ordini per individuare modifiche sospette.