Un account API è un'identità programmatica che il software usa per chiamare le funzioni della piattaforma con autorizzazioni definite. A differenza di un account utente umano, di solito viene creato per un'applicazione, un servizio o un'integrazione ed è autenticato con una chiave, un token, un certificato o un altro segreto. L'accesso dell'account dovrebbe essere limitato solo alle azioni di cui ha bisogno, come leggere ordini, aggiornare l'inventario o inviare eventi.
Gli account API sono importanti perché spesso si trovano all'interno della catena di fiducia tra un'azienda e i suoi fornitori. Se un utente malintenzionato ruba una chiave API o sfrutta un'integrazione compromessa, può agire come quel componente software senza aver bisogno delle credenziali di accesso di un dipendente. In attacchi reali, questo può esporre i dati dei clienti, modificare il comportamento del negozio online o attivare flussi di lavoro fraudolenti. I difensori riducono il rischio usando autorizzazioni limitate, ruotando i segreti, monitorando l'attività API e revocando rapidamente gli account non utilizzati.