// SÖZLÜK

BOLA / BFLA

API güvenliğinde iki temel yetkilendirme kusurudur. BOLA (Broken Object Level Authorization) yatay yetki ihlalidir: aynı seviyeden başka bir kullanıcının nesnesine erişmek. BFLA (Broken Function Level Authorization) dikey yetki ihlalidir: erişilmemesi gereken yönetimsel işlevi çağırmak. İkisi de OWASP API Security Top 10 listesinin en üst sıralarında yer alır (API1 ve API5) ve kök nedenleri ortaktır: kimlik doğrulaması yapılmış bir isteğin yetkili olduğu sanılır. Oysa doğrulama (authentication) kimliği bilir, yetki (authorization) ise o kimliğin tam da bu nesne ya da işlev üzerinde hakkı olup olmadığını sorar; API katmanında bu ikinci kontrol çoğu zaman her nesne erişiminde ayrıca yapılması gerektiği hâlde atlanır. Çok müşterili (multi-tenant) mimarilerde BOLA'nın en pahalı biçimi müşteri sınırının çökmesidir ve bu bulgular otomatik tarayıcıyla değil, iş mantığını izleyen manuel doğrulamayla ortaya çıkar.