Express Kurier. Direkt.
Auch Overnight.
x25pronto Schweiz bringt Ware direkt ans Ziel. Für kleine Ware fährt ein Auto. Für mehr Platz gibt es Transporter oder XL. Direkt, Express und Overnight fahren von Montag bis Sonntag. Freie Zeiten stehen im Kalender.
API-Sicherheitscheckliste für Kurierintegrationen
Eine klare, technische Checkliste für Entwickler: So prüfen Sie Authentisierung, Ratenbegrenzung, Payload‑Validation, Logging und SLA‑Tests bei Kurierintegrationen.
Kurzantwort
Diese Checkliste hilft Entwicklern, die Sicherheit einer Kurier‑API schnell und systematisch zu prüfen. Kernpunkte: sichere Authentisierung, Rate‑Limiting, Payload‑Validierung, detailliertes Logging und SLA‑Tests. Prüfen Sie jede Kategorie mit konkreten Tests in Ihrer Entwicklungs- und Staging‑Umgebung, bevor Sie Live‑Aufträge an x25pronto oder andere Kurierdienste senden.
1. Authentisierung und Autorisierung
Prüfen Sie, welche Authentisierungsmethoden die API unterstützt (API‑Keys, OAuth2, JWT). Testen Sie abgelaufene oder widerrufene Schlüssel. Stellen Sie sicher, dass jede Anfrage nur mit gültigen Berechtigungen bestimmte Endpunkte aufruft. Überprüfen Sie Rollen und Scopes: Wer darf Buchungen anlegen, stornieren oder Daten lesen? Nutzen Sie kurzlebige Tokens, setzten Sie Refresh‑Mechanismen und dokumentieren Sie Rotationszyklen.
2. Transport‑Sicherheit und TLS
Sicherer Transport ist Grundvoraussetzung. Erzwingen Sie HTTPS mit aktuellen TLS‑Versionen. Testen Sie, ob unverschlüsselte HTTP‑Verbindungen abgelehnt werden. Prüfen Sie Zertifikatsketten, HSTS und Forward Secrecy. Validieren Sie Serverzertifikate gegen vertrauenswürdige CAs und erkennen Sie abgelaufene Zertifikate frühzeitig.
3. Rate‑Limiting und Throttling
Ermitteln Sie die zulässigen Anfragelimits pro API‑Key oder IP. Simulieren Sie Spitzenlast und prüfen Sie Verhalten bei Überschreitung: Rückgabecodes (z. B. 429), Retry‑After Header und Backoff‑Strategien. Testen Sie, ob Limits fair durchgesetzt werden und ob sensible Endpunkte (z. B. Buchungserstellung) eigene Regeln haben.
4. Payload‑Validation und Input‑Sanitisation
Validieren Sie alle Eingabefelder serverseitig. Prüfen Sie Schema‑Validation (JSON Schema) für Pflichtfelder, Datentypen und Wertebereiche. Testen Sie gegen typische Angriffe: SQL/NoSQL‑Injection, XSS in frei wählbaren Textfeldern und Buffer‑Overflows. Verwerfen oder quarantänisieren Sie unerwartete Felder und setzen Sie klare Fehlercodes mit aussagekräftigen, aber nicht überinformierenden Fehlermeldungen.
5. Authentizität, Integrität und Non‑Repudiation
Stellen Sie sicher, dass kritische Ereignisse wie Auftragserstellung oder Stornierung nachvollziehbar signiert sind. Prüfen Sie Webhook‑Signaturen und HMAC‑Header, damit eingehende Benachrichtigungen nur von vertrauenswürdigen Systemen akzeptiert werden. Loggen Sie Request‑IDs oder Transaktions‑Hashes für Audit und Reconciliation.
6. Logging, Monitoring und Zugriffskontrolle
Sammeln Sie strukturierte Logs für Anfragen, Antwortcodes und Response‑Times. Maskieren Sie sensible Daten (z. B. Zahlungs‑ oder personenbezogene Daten) in Logs. Richten Sie Alerts bei ungewöhnlichen Mustern ein, etwa plötzliche Rate‑Anstiege oder wiederkehrende 5xx‑Fehler. Schränken Sie den Log‑Zugriff nach Least‑Privilege ein.
Häufige Fragen
Wie teste ich Webhook‑Signaturen praktisch?
Simulieren Sie Webhook‑Calls von einer Testquelle mit gültigen und manipulierten HMAC‑Hashes. Prüfen Sie, ob die API nur korrekte Signaturen akzeptiert und fehlerhafte Anfragen verwirft. Dokumentieren Sie Signaturalgorithmus, Header‑Name und maximal erlaubte Zeitabweichung (Timestamp‑Window).
Welche Fehlercodes sollten Rate‑Limits zurückgeben?
Gängiger Standard ist HTTP 429 Too Many Requests. Zusätzlich sollte ein Retry‑After Header die Wartezeit angeben. Verwenden Sie konsistente Fehlerpayloads mit Code, Message und ggf. verbleibender Quota.
Wie verhandele ich sensible Kundendaten in Logs?
Maskieren oder entfernen Sie personenbezogene Daten vor Persistenz. Nutzen Sie Feldredaktion: z. B. nur die letzten 4 Ziffern einer Telefonnummer. Lagern Sie vollständige Daten in zugriffsgeschützte Systeme und dokumentieren Sie die Retention‑Policy.
Wie führe ich SLA‑Tests für eine Kurier‑API durch?
Automatisieren Sie synthetische Tests, die typische Aufrufe (Buchung, Statusabfrage, Storno) in Intervallen ausführen. Messen Sie Antwortzeiten, Fehlerraten und Erfolgsquote. Testen Sie ausserhalb der Geschäftszeiten und während Spitzen. Vergleichen Sie gemessene Werte mit vertraglichen SLA‑Zielen.