Startup ලෝකේ වේගය අතිශය වේ—නව විශේෂාංග නිකුත් කරයි, දෝෂ සෙවීම කරයි, තෙවන පාර්ශව සේවාවන් එක්කරයි. ඒත් එම වේගයට සමානව ප්රහාරකයින්ටත් හැකියාව ලැබේ. බොහෝ API ආරක්ෂණ සිදුවීම් උසස් හෑක් නොව, මූලික ආරක්ෂණ නීති අමතක කිරීමෙන් සිදුවේ.
මෙම ලිපියෙන් ඔබට ආරක්ෂිත API නිර්මාණය කිරීමට අවශ්ය 8 පියවරේ පරීක්ෂා ලැයිස්තුවක් හඳුන්වා දෙයි. පළමුව, සෑම සංවේදනීය අන්තර්ගතයක්ද අධික්ෂේපනය (Authentication) අවශ්යයි; JWT, OAuth 2.0, OpenID Connect වැනි විශ්වාසනීය ක්රම භාවිතා කරන්න. දෙවැනි පියවරේ අවසර (Authorization) පරීක්ෂා කර, පරිශීලකයාට ඇතුළත් විය යුතු සම්පත්, රෝල් සහ ප්රවේශ ප්රතිපත්ති සත්යාපනය කරන්න.
තෙවැනි පියවරේ ආදාන පරීක්ෂණය (Input Validation) අත්යවශ්යයි—JSON, payload දිග, SQL injection වැනි ප්රහාර වලින් API එක රැකගන්න. පසුදා HTTPS මඟින් දත්ත ප්රවාහය ආරක්ෂා කර, TLS නවතම සංස්කරණය භාවිතා කරන්න. පස්වෙනි පියවරේ දුරස්ථ පරිශීලක ප්රතිචාර (Rate Limiting) යොදා, brute‑force, credential stuffing, DoS වැනි ප්රහාර වලින් වැළකෙන්න.
ඉදිරියට, ලොග් හා නිරීක්ෂණ (Logging & Monitoring) මගින් අසම්මත ක්රියාකාරකම් සොයාගන්න; නමුත් මුරපද, ටෝකන වැනි රහස් තොරතුරු ලොග් නොකරන්න. රහස් කළමනාකරණය (Secrets Management) සඳහා පරිසර විචල්ය (environment variables) හෝ විශේෂ සේවා භාවිතා කර, කී රෝටේෂන් සහ ප්රවේශ පාලනය අනුගමනය කරන්න. API සංස්කරණය (Versioning) සහ නිකුත් කිරීමට පෙර ස්වයංක්රිය දෝෂ පරීක්ෂණ (security testing) කර, broken authentication, SQL injection, XSS, CSRF, SSRF, IDOR වැනි දුර්වලතා හඳුනාගන්න.
ශ්රී ලංකාවට ඇති වැදගත්කම
- ස්ථානීය Startup ව්යාපාරිකයන්ට API ආරක්ෂණ පදනමක් සපයමින්, ගනුදෙනුකරුවන්ගේ විශ්වාසය වැඩි කරයි.
- සිසුන් හා නව සංවර්ධකයින්ට ආරක්ෂිත කේතන පදනමක් ඉගෙන ගැනීමට හොඳ උදාහරණයක් වේ.
- දේශීය fintech, e‑commerce, healthtech වැනි ක්ෂේත්රවල දත්ත රහස්යතාවය නියම කර, නියාමන රීති (GDPR, Data Protection Act) අනුගත වීමට උපකාරී වේ.
- API gateway, WAF, MFA වැනි අතිරේක ආරක්ෂණ මෙවලම් භාවිතා කර, ග්ලෝබල් තරගයේ ශ්රී ලංකා තාක්ෂණය ඉදිරියට ගෙන යා හැක.
අවසන් වශයෙන්, API එකක් වේගවත්, විශ්වාසදායක වීම පමණක් නොව, ආරක්ෂිතව නිර්මාණය කළ යුතුයි. පරීක්ෂා ලැයිස්තුව අනුගමනය කිරීමෙන් ඔබේ නිෂ්පාදනයේ ආරක්ෂණ අවදානම අඩු කර, පාරිභෝගික දත්ත රැකගැනීමට සහ ව්යාපාරික නාමය ශක්තිමත් කිරීමට හැකියාව ලැබේ. ආරක්ෂාව යනු “පසුතැවීම” නොව, “ආරම්භය” බව මතක තබා, සෑම API එකක්, සෑම එන්ඩ්පොයින්ට් එකක්, සෑම නිකුතුවක්ම ආරක්ෂිතව සැලසුම් කරමු.
