Вы делали API для своего сайта или мобильного приложения и не поставили авторизацию — просто не было причины: свой фронтенд, свои клиенты, зачем усложнять. Через несколько месяцев сервер начинает тормозить в непонятные часы, а в логах обнаруживается трафик, который никогда не заходил на главную страницу. Кто-то нашёл ваш эндпоинт и построил на нём собственный сервис — бесплатно, за ваш счёт CPU, базы данных и исходящего трафика. Разберём, как это происходит, как это увидеть в логах и что сделать, чтобы закрыть дыру, не сломав легитимных клиентов.
Подробнее →