Un'API privilegiata è un'interfaccia applicativa che può eseguire operazioni sensibili, come modificare le policy di accesso, creare account, leggere segreti o controllare le impostazioni di sistema. Poiché queste azioni influiscono su fiducia e sicurezza, l'API dovrebbe essere rigorosamente limitata ai soli chiamanti autenticati e autorizzati.
Nella sicurezza informatica, le API privilegiate sono importanti perché spesso si collocano nel piano di controllo di un prodotto: se un attaccante vi accede, potrebbe aggirare i normali flussi di lavoro dell'utente e modificare direttamente le decisioni di sicurezza. Una vulnerabilità come controllo degli accessi difettoso, bypass dell'autenticazione o verifica debole della sessione può trasformare una funzione riservata agli amministratori in un percorso di attacco. I difensori riducono il rischio imponendo controlli di autorizzazione solidi su ogni richiesta, isolando le interfacce di gestione, usando mutual TLS o richieste firmate, limitando l'esposizione di rete e verificando le chiamate API sensibili. In pratica, la compromissione di un'API privilegiata può essere più dannosa di un semplice crash del servizio perché può minare il sistema che fa rispettare la fiducia per tutto il resto che si trova dietro di esso.