Un'API di aggiornamento è il livello di servizio che il software client interroga per sapere se sono disponibili aggiornamenti e per recuperare i pacchetti approvati o i metadati. In piattaforme come WordPress, questo canale si colloca tra i manutentori e i sistemi che installano plugin, temi o componenti dell'applicazione. Di solito restituisce numeri di versione, URL di download, hash e altri segnali di fiducia che il client utilizza prima di applicare una release.
Le API di aggiornamento sono importanti perché fanno parte della supply chain del software. Se un attaccante può manomettere l'API, contaminare i suoi metadati o far accettare a monte un pacchetto malevolo, molti client possono installare il cattivo aggiornamento tramite un normale flusso di lavoro fidato. I difensori quindi proteggono questo livello con firme, controllo degli accessi, gate di revisione, scansioni e controlli di integrità. In pratica, l'API di aggiornamento è sia un meccanismo di distribuzione sia un punto critico di sicurezza: può diffondere rapidamente le correzioni, ma può anche diffondere codice compromesso altrettanto velocemente.