Chuyển tới nội dung chính

Tích hợp DAST API

Tính năng DAST API Integration cho phép quản lý tích hợp DAST và quét bảo mật cho API của tổ chức/team:

  • Xem danh sách Authentication Profile
  • Tạo và chỉnh sửa Authentication Profile
  • Xác minh quyền sở hữu domain
  • Quản lý API Source (Thêm / Enable / Disable / Delete)
  • Lấy CI/CD Scan Script để tích hợp vào pipeline

Xem danh sách DAST API Integration​

Từ menu, chọn Integration để mở màn hình Integration Management. Sau đó chọn thẻ API (nhóm DAST Control) của Organization/team.

Hệ thống hiển thị màn hình DAST API Integration List.

DAST API Integration — danh sách Authentication Profile

Các trường của Authentication Profile:

TrườngMô tả
Profile NameTên Authentication Profile
Domain AccessDomain được cấu hình
Access KeyKey dùng cho CI/CD (có thể ẩn/hiện hoặc reset)
OwnershipTrạng thái xác minh domain
Added AtThời điểm tạo profile
ActionCác action khả dụng: Edit và Add API Source

Hỗ trợ tìm kiếm theo Profile Name và Domain Access (không phân biệt hoa thường).

Tạo Authentication Profile​

Authentication Profile chứa thông tin xác thực. API Source là hệ thống cần quét. Phải tạo profile trước để hệ thống biết cách truy cập API.

  1. Từ danh sách DAST API Integration, click Add Authentication Profile.
  2. Popup Add Authentication Profile xuất hiện. Nhập thông tin profile.

DAST API — Popup Add Authentication Profile

  • Profile Name (bắt buộc): nhập tên để dễ nhận biết.
  • Domain Access (bắt buộc): nhập domain mà hệ thống được phép gửi request.
  • Authentication configuration: hỗ trợ 2 nhóm — Query Parameters và Headers.

Query Parameters (tuỳ chọn): truyền dữ liệu xác thực qua URL. Tối đa 5 tham số; mỗi tham số có Key duy nhất và Value.

Headers (tuỳ chọn): hỗ trợ Bearer Token, Basic Auth, Cookie và Custom Header.

LoạiGiới hạnGhi chú
Bearer Token1Key cố định: Authorization; value tối đa 2048 ký tự
Basic Auth1Key cố định: Authorization; nhập Username + Password
Cookie1Key mặc định: Cookie; nhập Value
Custom Header5Mỗi header có Key duy nhất và Value
ghi chú

Khi đã thêm Bearer Token hoặc Basic Auth, lựa chọn còn lại bị disable. Khi đã đạt giới hạn tối đa của một loại header, loại đó bị disable.

Sau khi lưu:

  • Domain chưa được xác minh → profile hiển thị nút Verify Now trong cột Ownership.
  • Domain đã được xác minh → profile hiển thị trạng thái Verified.

Chỉnh sửa Authentication Profile​

  1. Từ danh sách DAST API Integration, click Edit trên profile cần cập nhật.
  2. Popup Edit Authentication Profile xuất hiện. Cập nhật thông tin profile.

DAST API — Popup Edit Authentication Profile

Tương tự tạo profile, ngoại trừ Domain Access không thể chỉnh sửa.

Xác minh quyền sở hữu domain​

Tính năng này xác minh rằng domain đang quét do người dùng kiểm soát và kích hoạt khả năng quét DAST API.

  1. Click Verify Now trong cột Ownership của profile chưa được xác minh.

Popup Verify Domain xuất hiện.

DAST API — Drawer Verify Domain Ownership

  1. Xem các trường:

    • Domain Access: domain được khai báo trong profile.
    • Domain Verification: root domain tự động được suy ra từ Domain Access.

  2. Chọn phương thức xác minh:

Phương thức 1: DNS TXT Record (mặc định)

  • Copy Name và Value được cung cấp.
  • Mở hệ thống quản lý DNS của domain → tạo TXT record với Name và Value đó → lưu và chờ DNS propagation.

Phương thức 2: HTML File Upload

  • Tải file .txt với File Name và Content được cung cấp.
  • Upload file này lên thư mục root của web server tại Upload Location được chỉ định.
  1. Click Verify Now.

Nếu xác minh thành công: trạng thái Ownership chuyển sang Verified, Access Key được tạo, và tất cả profile cùng root domain cũng được cập nhật thành Verified.

Nếu xác minh thất bại: thông báo lỗi xuất hiện, user ở lại popup để kiểm tra và thử lại.

Xem và quản lý API Source​

Từ danh sách DAST API Integration, click icon Expand trên Authentication Profile để xem danh sách API Source.

DAST API — Danh sách API Source với các action

Các trường của API Source:

TrườngMô tả
Source NameTên API Source
API DocumentEndpoint và Document URL hoặc file upload
StatusActive hoặc Inactive
ActionDisable, Enable, Delete, View CI/CD scan script

Tạo API Source​

Chỉ Authentication Profile có domain đã được xác minh mới có thể tạo API Source.

  1. Trên hàng profile đã xác minh, click Add API Source.
  2. Popup Create API Source xuất hiện. Nhập thông tin.

DAST API — Popup Create API Source

  • Source Name: tên API Source.
  • Method: URL (mặc định) hoặc Upload file.
  • Document URL / Upload File: đường dẫn đến file Swagger.
  • Endpoint: endpoint thực tế mà client gọi.
  • Parameter: các tham số bắt buộc được phân tích từ Swagger (Header, Path, Query).
  • Whitelist IP: danh sách IP cần whitelist để cho phép scan traffic.
  1. Click Save. Khi thành công, API Source mới xuất hiện trong danh sách.

Disable / Enable API Source​

Click Disable hoặc Enable trong cột Action của API Source để thay đổi trạng thái.

Xóa API Source​

Click Delete trong cột Action của API Source.

DAST API — Xác nhận Delete API Source

Xác nhận xóa trong dialog xác nhận.

Xem CI/CD scan script​

Click View CI/CD Scan Script trong cột Action của API Source để xem script tích hợp pipeline.

DAST API — CI/CD scan script

Copy script và thêm vào cấu hình CI/CD pipeline.