Маркетинговые API ломают не взломом, а брутфорсом токенов и ключей

Если у вас endpoint для лидов, вебхуков или отчётов открыт в интернет, его будут перебирать. Типовые точки атаки: — короткие API-ключи в заголовке; — basic auth без ограничения попыток; — токены без срока жизни; — ответы, по которым можно отличить «неверный ключ» от «неверный формат».

Базовая защита: длинные случайные ключи, HMAC-подпись запросов, короткий TTL для access-токенов и ротация refresh-ключей. Для ручных интеграций — mTLS или IP allowlist. Для публичных API — обязательный rate limit на ключ, подсеть и endpoint, плюс задержка после N ошибок. Логи должны хранить не секреты, а fingerprint, IP, user-agent и причину отказа.

Если брутфорс идёт через регистрацию приложений или выдачу ключей, ставьте CAPTCHA, подтверждение почты и отдельный лимит на создание аккаунтов. На уровне nginx/ingress включайте 429, а не 401 на частые неуспешные запросы: это режет скорость перебора и не даёт точной обратной связи.

Проверьте два правила: секреты не живут в URL и не лежат в клиентском коде, а доступ к API всегда можно быстро отозвать. Стабильность — это отсутствие магии, только предсказуемая конфигурация.