合规

在数据驱动的业务环境中，数据安全和隐私对于企业来说至关重要。API 网关处理大量敏感数据，必须遵守严格的合规标准，以在传输和处理过程中保护数据。

GDPR 等法规，以及 FIPS 140-2 和 SOC 2 等安全标准或审计框架，对敏感数据的处理提出了要求。这些要求有助于降低数据滥用或泄露的风险，并推动业务运营符合适用的安全与隐私规范。

API7.ai 优先考虑安全性，并持续保持其产品和服务的合规性。API7.ai 遵循行业领先的合规标准，包括 SOC 2 Type II、ISO/IEC 27001:2022、HIPAA 和 GDPR。这些合规标准共同涵盖数据保护和安全的技术、运营及监管各方面，使 API7.ai 成为跨行业组织的安全、合规选择。

API7 网关合规方案

1. FIPS 140-2

FIPS 140-2（联邦信息处理标准 140-2）是指定加密模块要求的美国政府安全标准。金融和医疗保健等行业通常对数据安全提出特定的合规性要求。

FIPS 合规性取决于所使用的具体加密模块和网关构建版本。仅存在 OpenSSL 3 并不能证明部署的网关使用了以 FIPS 模式运行的 FIPS 验证模块。如果部署需要 FIPS 验证，请在部署前从 API7 获取适用的网关构建版本、模块证书和操作说明。

2. 安全数据传输

API7 网关采用 TLS 和 mTLS 等安全传输协议，构建全面的多层安全框架。TLS 通过加密客户端与服务器之间传输的数据来保护通信通道，mTLS 则通过双向身份认证验证客户端和服务器的身份。

它还支持基于 IP 地址的访问控制，通过可配置的 IP 黑名单和白名单。ip-restriction 插件可用于限制 IP 地址对上游资源的访问。此外，API7 网关还提供 key-auth、basic-auth、jwt-auth 和 hmac-auth 等多种身份认证方式，允许企业定制其安全策略以满足特定要求。这些功能有助于增强 API7 网关抵御各种网络威胁的能力，确保现代企业环境免受不断变化的风险影响。

3. 密钥管理

企业可以将机密、Token 和 TLS 私钥存储在 API7 网关中；部分敏感字段会在写入数据库前加密。如果数据库或备份遭到入侵，不应依赖这种加密保护凭据。如果敏感值及其加密密钥必须保留在控制面之外，请将这些值存储在可信的密钥管理服务中。API7 网关可以通过变量引用存储在 HashiCorp Vault 或 AWS Secrets Manager 中的值。

通过与这些外部密钥管理器集成，API7 网关可以帮助组织实施强大的安全策略。此外，API7 网关提供细粒度的访问控制，进一步降低未经授权的访问或修改的风险。

4. 数据隐私保护

为了进一步保护敏感数据，API7 网关提供了一套强大的数据安全保护插件。data-mask 插件可以在日志中遮盖来自请求头、请求体和 URL 查询参数的敏感信息，例如机密和密码。

API7 网关可以为已发布的 API 添加 Web 应用程序防火墙（WAF）保护，以帮助检测和阻止 SQL 注入和跨站点脚本（XSS）等恶意请求。你可以直接将 chaitin-waf 插件与 Chaitin WAF（SafeLine）结合使用，也可以集成基于 WASM 的 WAF（例如 Coraza）。有关两种方案的区别，请参阅 Web 应用防火墙（WAF）。