Una Shadow API è un endpoint API attivo in produzione ma assente dalla documentazione ufficiale, dall'inventario o dai processi di governance. Può essere stato creato durante uno sviluppo rapido, lasciato indietro dopo una modifica di funzionalità o esposto tramite un servizio che i team di sicurezza non hanno mai registrato completamente.
Le Shadow API sono importanti perché spesso aggirano i controlli normali. Se i difensori non sanno che un endpoint esiste, potrebbero non applicare autenticazione, limiti di frequenza, convalida dello schema, registrazione dei log o test di vulnerabilità. Gli aggressori cercano queste superfici nascoste per trovare funzioni di amministrazione dimenticate, versioni obsolete o percorsi che espongono dati. I difensori le contrastano con il discovery delle API, l'analisi del traffico, le policy del gateway e controlli continui dell'inventario che confrontano le richieste osservate con i contratti OpenAPI e i registri interni. In pratica, individuare le Shadow API aiuta i team a ridurre i punti ciechi e a mantenere il comportamento a runtime allineato a ciò che è stato effettivamente approvato.