Emre Demir

Posted on Jul 30 • Originally published at apidog.com

APIDOG Juli Updates: Secret Scanner, Audit Logs und Sicherere API-Migration

Die Veröffentlichung im Juli konzentriert sich auf drei klare Themen: stärkere Unternehmenssicherheit und Zugriffsverwaltung, zuverlässigere API-Migration und Spezifikationssynchronisierung sowie einfacher zu pflegende Test-Workflows.

API-Teams benötigen mehr als einzelne Funktionen: Anmeldeinformationen müssen auffindbar sein, Zugriffs- und Organisationsaktivitäten nachvollziehbar bleiben, importierte API-Daten ihren Kontext behalten und automatisierte Tests wiederverwendbar sowie überwachbar sein.

Apidog noch heute ausprobieren

Diesen Monat verbessert Apidog diese verbundenen Workflows in drei Bereichen:

Unternehmenssicherheit und Zugriff (Enterprise-Plan): Anmeldeinformationsrisiken erkennen, Organisationsaktivitäten prüfen sowie SCIM-, SAML- und SSO-Workflows robuster verwalten.
API-Migration und Spezifikationssynchronisierung: Mehr Postman-Kontext erhalten und OpenAPI-/Swagger-Importe wiederholbar ausführen.
Test- und Workflow-Zuverlässigkeit: Test-Assets wiederverwenden, die letzte Szenarioausführung prüfen und große Umgebungskonfigurationen zuverlässiger speichern.

1. 🔐 Unternehmenssicherheit und Zugriff

API-Governance im Unternehmen benötigt drei Bausteine:

Sensible Daten müssen auffindbar sein.
Kritische Aktionen müssen nachvollziehbar sein.
Benutzer müssen den passenden Zugriff erhalten.

Die Juli-Updates stärken diese Bereiche.

Verfügbarkeit: Enterprise-Plan

Enterprise Secret Scanner: Anmeldeinformationsrisiken finden und verwalten

API-Projekte enthalten sensible Daten an vielen Stellen: Anfrageparameter, Header, Umgebungen, Variablen, Skripte, Beispiele und Authentifizierungseinstellungen. Ein versehentlich gespeicherter API-Key, ein Zugriffstoken oder privater Schlüssel im Klartext kann in großen Organisationen leicht übersehen werden.

Mit dem Secret Scanner können Enterprise-Teams Risiken strukturiert prüfen und nachverfolgen:

Organisationsebene prüfen: Administratoren sehen Teams mit ungelösten Funden und können zuständige Team-Besitzer oder Administratoren identifizieren.
Funde im Team bearbeiten: Teams prüfen Funde innerhalb ihrer Projekte und öffnen die Details aller Vorkommnisse desselben Risikos.
Direkt zur Quelle navigieren: Ein Fund kann auf die betroffene Anfrage, Variable, Umgebung, Beispielressource oder andere Quelle verweisen.
Behebung dokumentieren: Markieren Sie Funde als gelöst und hinterlegen Sie einen Status wie Widerrufen, Falsch positiv oder Wird nicht behoben.
Eigene Muster definieren: Team-Administratoren können Erkennungsmuster für organisationsspezifische Anmeldeinformationsformate erstellen, aktivieren, deaktivieren und verwalten.

Praktischer Ablauf für Teams:

Funde auf Organisationsebene priorisieren.
Die betroffene Ressource direkt öffnen.
Schlüssel oder Token widerrufen bzw. ersetzen.
Den Behebungsstatus dokumentieren.
Wiederkehrende interne Formate über benutzerdefinierte Muster abdecken.

Enterprise Audit Logs: Änderungen nachvollziehen

Bei vielen Mitgliedern, Teams, Projekten und Berechtigungen benötigen Administratoren eine zentrale Historie wichtiger Ereignisse. Ohne diese Historie werden Untersuchungen zu unerwarteten Zugriffsänderungen oder sensiblen Operationen schnell aufwendig.

Enterprise Audit Logs bieten Organisationsbesitzern und Administratoren eine zentrale Ansicht relevanter Ereignisse. Ein Eintrag kann unter anderem enthalten:

ausführende Person
Ereignistyp
Ereignisbeschreibung
Quell-IP-Adresse
Zeitstempel

Filtern Sie die Protokolle nach Zeitraum, Ereignistyp oder Operator, um Änderungen an Mitgliedern, Teams, Berechtigungen, Projekten und Anmeldungen zu prüfen.

Das unterstützt Sicherheitsreviews, Vorfallsuntersuchungen und interne Compliance-Prozesse, ohne Informationen aus mehreren Quellen zusammensuchen zu müssen.

Zuverlässigere Enterprise-Identitäts- und SSO-Workflows

Apidog verbessert die Kompatibilität mit SCIM 2.0 für eine breitere Auswahl an Identity-Provider-Integrationen. Benutzer-Lifecycle-Operationen und das gruppenbasierte Management auf Organisationsebene sind robuster gegenüber Unterschieden bei SCIM-Feldern und Endpunktverhalten.

Das hilft Enterprise-Teams, Benutzer und Gruppen zuverlässiger zu:

aktivieren
aktualisieren
synchronisieren

Für IdPs wie JumpCloud, Microsoft Entra ID und Okta verbessert sich zudem die Gruppenverwaltung per SAML. Die Gruppenzuordnung verarbeitet sowohl einzelne Gruppen-Strings als auch Arrays mit mehreren Gruppen. Benutzer erhalten nach der SSO-Anmeldung dadurch die erwarteten Organisations- und Teamrollen, ohne bestehende Teammitgliedschaften zu beeinträchtigen.

Nach der SSO-Anmeldung kann Apidog außerdem automatisch die passende Organisation und das relevante Team erweitern und auswählen. Das reduziert die manuelle Navigation durch Arbeitsbereiche und bringt Benutzer schneller in das richtige Projekt.

2. 📦 API-Migration und Spezifikationssynchronisierung

Ein Import ist erst dann erfolgreich, wenn die Daten danach direkt nutzbar sind:

Anfragen bleiben verständlich.
Authentifizierung bleibt erhalten.
Variablen behalten ihren Kontext.
Wiederholte Synchronisierungen überschreiben oder löschen keine unabhängigen Ressourcen.

Vollständigere und zuverlässigere Postman-Migration

Apidog bewahrt und ordnet bei lokalen Dateiimporten sowie Postman-API-Importen mehr Kontext zu.

Beim Import bleiben unter anderem zuverlässiger erhalten:

Authentifizierung auf Sammlungsebene
OAuth-2.0-Einstellungen auf Endpunktebene
OAuth-2.0-Refresh-Token-URLs
Variablenbeschreibungen und Geheimnisklassifizierungen
ursprüngliche Dateinamen in form-data-Dateifeldern, falls die lokale Datei selbst nicht übertragen werden kann

Zusätzlich:

Postman-API-Importe können Globals enthalten; diese lassen sich beim Import bei Bedarf ausschließen.
Nicht unterstützte Zeichen in Variablennamen, etwa Leerzeichen oder vertikale Striche, werden durch Unterstriche ersetzt.
Wiederholte Postman-API-Importe verwenden seltener veraltete, im Browser zwischengespeicherte Sammlungsdaten.

Vorher	Jetzt
Authentifizierungsdetails mussten nach der Migration möglicherweise neu erstellt werden.	Mehr Authentifizierungs- und Request-Body-Einstellungen bleiben erhalten.
Variablenkontext oder Geheimnis-Metadaten konnten verloren gehen.	Variablen behalten mehr nützlichen Kontext.
Globals waren über den Postman-API-Pfad nicht enthalten.	Globals können geprüft und importiert werden.
Nicht unterstützte Zeichen konnten Variablenreferenzen unterbrechen.	Variablennamen werden für Apidog-Vorlagen normalisiert.
Wiederholte Importe konnten ältere Cache-Daten verwenden.	Wiederholte Migrationen und Synchronisierungen sind zuverlässiger.

Praktischer Migrationsablauf:

Importieren Sie die Postman-Sammlung.
Prüfen Sie Authentifizierungsdetails und OAuth-Konfigurationen.
Kontrollieren Sie Variablenbeschreibungen, Geheimnisklassifizierungen und Globals.
Validieren Sie normalisierte Variablennamen in Ihren Templates.
Wiederholen Sie den Import bei Bedarf, ohne sich auf veraltete Browser-Cache-Daten zu verlassen.

Sicherere OpenAPI- und Swagger-Import-Workflows

OpenAPI- und Swagger-Importe sind häufig ein laufender Synchronisierungsprozess statt einer einmaligen Migration. Deshalb müssen Importfehler, unvollständiges Parsing und falsche Löschvorgänge klar erkennbar und vermeidbar sein.

Apidog zeigt jetzt detailliertere Fehler an, wenn eine OpenAPI- oder Swagger-Datei nicht importiert werden kann. Wenn das gewählte Spezifikationsformat die Ursache sein könnte, führt der Import-Workflow direkter durch den Wechsel des Formats und die weitere Analyse.

Verbesserungen für komplexe Synchronisierungen:

Geplante Importe verarbeiten Definitionen aus Nicht-2xx-HTTP-Antworten zuverlässiger.
OpenAPI-3.1-Importe in Iterations-Branches bewahren Endpunkte, Webhooks, Ordner, Beschreibungen und deprecated-Status zuverlässiger.
Ordner ohne HTTP-Endpunkte werden seltener versehentlich entfernt, wenn Ressourcen aus der Quelldefinition verschwinden.
Schema-Zirkelreferenzen werden beim Import robuster verarbeitet.
Die Modell-Synchronisierung über Module und geplante Importquellen hinweg überschreibt seltener nicht verwandte Modelle mit demselben Namen.

Das reduziert Risiken bei Multi-Modul-Projekten, Branches und geplanten Import-Workflows.

3. 🧪 Test- und Workflow-Zuverlässigkeit

Automatisierung wird schwer wartbar, wenn Teams Test-Assets duplizieren müssen, die Aktivität von Szenarien nicht sichtbar ist oder große Konfigurationsupdates fehlschlagen. Die Juli-Updates reduzieren diese Reibung.

Mehr Test-Assets in der Apidog CLI wiederverwenden

Wenn Apidog CLI Szenariofälle ausführt, können Szenarioschritte jetzt auf folgende Assets verweisen:

Endpunkte
Testfälle
andere Szenarien

Dadurch lassen sich bestehende Test-Assets direkt in lokalen Skripten, CI/CD-Pipelines und automatisierten Test-Workflows wiederverwenden, statt sie als isolierte Schritte neu zu erstellen.

Ein modularer Ansatz kann beispielsweise so aussehen:

Szenario: Checkout-Regression
├── Endpoint: POST /auth/login
├── Testfall: Warenkorb vorbereiten
├── Szenario: Zahlung durchführen
└── Endpoint: GET /orders/{id}

So pflegt das Team dieselben Test-Assets sowohl für interaktive Tests als auch für automatisierte CLI-Ausführungen.

Letzte Ausführung von Test-Szenarien prüfen

Die Liste automatisierter Test-Szenarien zeigt neben der Erstellungszeit jetzt auch die letzte Ausführungszeit an.

Nutzen Sie diese Information, um:

kürzlich ausgeführte Szenarien schnell zu erkennen
veraltete oder möglicherweise unbeachtete Tests zu identifizieren
die Testaktivität im Projekt transparent zu kommunizieren

Große Umgebungskonfigurationen zuverlässiger speichern

In großen Projekten können sich ungültige leere Werte in Umgebungskonfigurationen ansammeln. Diese erhöhen die Request-Größe und können Speicherfehler verursachen.

Apidog entfernt ungenutzte leere Daten jetzt beim Speichern einer Umgebung. Das macht Konfigurationsupdates in Projekten mit vielen Modulen stabiler.

🐞 Fehlerbehebungen und kleinere Verbesserungen

Diesen Monat wurden außerdem mehrere Fehler behoben und Verbesserungen an der Benutzerfreundlichkeit veröffentlicht:

Runner-Benachrichtigungen und aktuelle Laufergebnisse konnten nach Abschluss eines Test-Szenarios eine durchschnittliche Dauer von 0 anzeigen.
„Passwort vergessen“ verwendete zuvor eingegebene Kontoinformationen nicht automatisch wieder.
Organisationsbesitzer konnten nach Überschreiten des Mitgliederlimits den Zugriff auf Organisationseinstellungen verlieren.
Ein Teambesitzer konnte über einen Projekteinladungslink mit einer falschen regulären Mitgliederrolle erneut beitreten.
Eine Zeitzonenverschiebung bei der letzten Aktivitätszeit in der Organisationsmitgliederliste wurde behoben.
Das Klonen eines Projekts über eine veröffentlichte Dokumentationsseite konnte Endpunkte aus nicht veröffentlichten Modulen enthalten.
Testsuite-Schritte konnten nach dem Speichern in einem Kind-Branch verschwinden.
Der Runner konnte Testsuiten in Kind-Branches nicht ausführen.
Multi-Modul-Dokumentationsexporte konnten Endpunkte aus nicht ausgewählten Modulen enthalten.
Das Deaktivieren von „Import Authentication“ konnte die Verzeichnisauthentifizierung fälschlicherweise auf „No Auth“ setzen.
Die Erkennung zusätzlicher Anmeldeinformationsmuster durch den Secret Scanner wurde verbessert.
Bilder in Markdown-Dokumenten konnten im On-Premises-Desktop-Client nicht angezeigt werden.
Die kumulativen Kreditnutzungsdaten wurden verbessert, damit Gesamterhöhungen und Gesamtverbrauch genauer dargestellt werden.

🌟 Was das bedeutet

Fokus	Was sich verbessert	Warum es wichtig ist
Unternehmenssicherheit und Zugriff	Secret Scanner, Audit Logs, JumpCloud-SCIM- und SAML-Kompatibilität sowie schnellere SSO-Arbeitsbereichsnavigation	Organisationen können Anmeldeinformationsrisiken finden, wichtige Aktivitäten verfolgen und Benutzerzugriffe mit weniger Lücken verwalten.
API-Migration und Spezifikationssynchronisierung	Mehr Postman-Kontext bleibt erhalten; OpenAPI- und Swagger-Importe sind sicherer und leichter zu analysieren.	Teams reparieren weniger importierte Daten und reduzieren das Risiko, Projektressourcen zu verlieren oder zu überschreiben.
Test- und Workflow-Zuverlässigkeit	CLI-Szenarien verwenden vorhandene Assets wieder, Szenarioaktivitäten sind sichtbarer und große Umgebungsspeicherungen stabiler.	Automatisierte Workflows lassen sich einfacher erstellen, überwachen und warten.

Zusammen schaffen diese Updates eine klarere und zuverlässigere operative Grundlage für Sicherheitsteams, Administratoren, API-Designer und Testingenieure.

💬 Nehmen Sie an der Unterhaltung teil

Vernetzen Sie sich mit anderen API-Ingenieuren und dem Apidog-Team:

Treten Sie unserer Discord-Community für Echtzeit-Diskussionen und Support bei.
Nehmen Sie an unserer Slack-Community für technische Gespräche teil.
Folgen Sie uns auf X (Twitter) für die neuesten Updates.

P.S. Alle Details zu den Updates finden Sie im Apidog Changelog!

Mit freundlichen Grüßen,

Das Apidog-Team

DEV Community