Shadowaudit: Unbekannte API-Routen in Express.js-Projekten automatisch erkennen

Unbekannte API-Endpunkte in Produktionsumgebungen stellen ein ernstes Sicherheitsrisiko dar. Entwickler:innen erstellen oft schnelle Testroutinen, die später im Code verbleiben – unsichtbar für Netzwerkscanner und Sicherheitsteams. Diese sogenannten Shadow APIs umgehen Authentifizierungsmechanismen, sind nicht dokumentiert und gelangen unbemerkt in die Live-Umgebung. Hier setzt Shadowaudit an: Das neue CLI-Tool analysiert Express.js-Projekte statisch und identifiziert solche Schwachstellen, bevor sie über Pull Requests in die Produktion gelangen.

Warum Shadow APIs gefährlich sind und wie sie entstehen

Shadow APIs entstehen häufig durch schnelle Prototypen oder Debugging-Endpunkte, die Entwickler:innen aus Bequemlichkeit oder Zeitdruck im Code belassen. Diese Routen erfüllen typischerweise drei kritische Sicherheitskriterien nicht:

• Fehlende Dokumentation: Die Routen sind nicht im OpenAPI- oder Swagger-Schema enthalten.
• Keine Authentifizierung: Es fehlt jegliche Middleware wie JWT-Prüfungen oder API-Key-Authentifizierung.
• Unsichtbarkeit für Sicherheitstools: Netzwerkbasierte Scanner erkennen solche Routen nicht, da sie nicht über das Netzwerk exponiert sind.

Besonders tückisch ist die Kombination aus fehlender Dokumentation und fehlender Authentifizierung. Diese Routen sind für Angreifer:innen wie offene Türen – sie ermöglichen direkten Zugriff auf interne Daten oder Systemfunktionen, ohne dass das Sicherheitsteam davon erfährt.

Shadowaudit im Einsatz: So funktioniert die statische Analyse

Shadowaudit setzt auf eine Kombination aus statischer Codeanalyse und OpenAPI-Validierung. Das Tool durchsucht das Projektverzeichnis nach allen definierten API-Routen und vergleicht sie mit der offiziellen Spezifikation. Dazu nutzt es einen Abstract Syntax Tree (AST), um Express.js-Routen zu extrahieren – eine Methode, die präziser ist als reguläre Ausdrücke und weniger fehleranfällig.

Unterstützte Frameworks und Ausgabemodi

Aktuell bietet Shadowaudit volle Unterstützung für Express.js und plant Erweiterungen für FastAPI und Django. Die Ausgabe kann in drei Formaten erfolgen:

• Tabellenformat (Standard): Farbige Übersicht mit Schweregrad, HTTP-Methode, Pfad, Dateiname und Authentifizierungsstatus.
• JSON: Strukturierte Daten für CI/CD-Dashboards und Sicherheitsanalysen.
• SARIF 2.1.0: Industriestandard für Tools wie GitHub Code Scanning oder Azure DevOps.

Die Konfiguration erfolgt entweder über CLI-Argumente oder eine YAML-Datei (.shadowaudit.yml). Dort lassen sich beispielsweise zu ignorierende Verzeichnisse, Schweregradschwellenwerte oder benutzerdefinierte Authentifizierungsmuster hinterlegen.

Einbindung in CI/CD-Pipelines: Automatisierte Sicherheit vor dem Merge

Shadowaudit lässt sich nahtlos in bestehende Workflows integrieren. Die einfachste Methode ist die Verwendung als GitHub Action:

- uses: darkmaster0345/shadow-audit@v0.1.0-beta-2
  with:
    dir: './src'
    spec: './openapi.json'
    fail-on: 'critical'

Alternativ kann das Tool lokal installiert werden:

npm install -g shadowaudit

Ein typischer Scanbefehl sieht so aus:

shadowaudit --dir ./src --spec ./openapi.json --fail-on critical

Bei kritischen Funden (undokumentierte Routen ohne Authentifizierung) bricht der Befehl mit Exit-Code 1 ab und verhindert so das Mergen des Pull Requests. Dies entspricht dem Prinzip Shift Left Security, bei dem Sicherheitsprüfungen so früh wie möglich im Entwicklungszyklus erfolgen.

Praktische Anwendung: Ein reales Beispiel aus dem Terminal

Ein Entwickler testet Shadowaudit an einem Beispielprojekt mit sieben Express.js-Routen. Fünf davon sind im OpenAPI-Schema dokumentiert, zwei jedoch nicht:

[✓] 7 Routen in /tmp/auth-test gefunden
[INFO] GET /public/health → routes.js:6 [auth]
[INFO] GET /public/products → routes.js:7 [auth]
[INFO] GET /api/users → routes.js:9 [auth]
[INFO] POST /api/users → routes.js:13 [auth]
[INFO] GET /api/admin/dashboard → routes.js:17 [auth]
[INFO] GET /api/debug/reset → routes.js:21 [no auth]
[INFO] POST /api/test/seed → routes.js:22 [no auth]

──────────────────────────────────────────────────
Gesamt: 7 | Dokumentiert: 5 | Undokumentiert: 2
──────────────────────────────────────────────────

Die beiden undokumentierten Routen (/api/debug/reset und /api/test/seed) wurden mit dem Schweregrad CRITICAL markiert, da sie keine Authentifizierung implementieren. Das Tool empfiehlt, diese Routen entweder zu dokumentieren oder mit einer Authentifizierungsschicht zu versehen – andernfalls blockiert es den Merge-Prozess.

Ausblick: Mehr Frameworks, mehr Sicherheit

Shadowaudit befindet sich aktuell in der Beta-Phase, bietet aber bereits jetzt einen robusten Schutz für Express.js-Projekte. Die Entwickler:innen planen Erweiterungen für FastAPI und Django, um die statische Analyse auch in anderen Ökosystemen zu ermöglichen. Zudem sollen die Authentifizierungsmuster weiter verfeinert werden, um auch komplexe Middleware-Ketten zu erkennen.

Für Teams, die Sicherheitslücken nicht erst in der Produktion entdecken möchten, ist Shadowaudit eine effiziente Lösung. Es kombiniert Präzision mit einfacher Integration und stellt sicher, dass nur dokumentierte und abgesicherte API-Endpunkte die Produktionsumgebung erreichen. Die Zukunft der API-Sicherheit beginnt mit der statischen Analyse noch vor dem Merge – Shadowaudit macht diesen Ansatz für Entwickler:innen zugänglich.