Uno schema di risposta è l'insieme definito di campi che un'API può restituire a un client. Funziona come un contratto di output: il server dovrebbe inviare solo i dati di cui l'applicazione ha bisogno, nel formato previsto, e nulla di più.
Nel campo della sicurezza informatica, gli schemi di risposta sono importanti perché aiutano a prevenire l'esposizione accidentale di dati. Se un endpoint di login, profilo o transazione restituisce campi aggiuntivi, gli attaccanti possono scoprire token, ID interni, dettagli di debug o altri valori sensibili che non avrebbero mai dovuto lasciare il server. Uno schema debole può trasformare una normale richiesta in una fuga di informazioni.
I difensori usano allowlist rigorose, convalida dello schema e revisioni del codice per mantenere le risposte minimaliste e prevedibili. Una buona progettazione delle API considera i valori sensibili come segreti lato server, a meno che non siano esplicitamente richiesti dal processo aziendale. In pratica, uno schema di risposta stretto è uno dei modi più semplici per ridurre la superficie di attacco e limitare i danni derivanti da autenticazione compromessa o esposizione eccessiva di dati.