API Scanner - Distribuzione self-hosted

API Scanner è uno strumento automatico di test di sicurezza delle API che scansiona le API REST e SOAP alla ricerca di vulnerabilità utilizzando specifiche OpenAPI/Swagger e file WSDL.

Prerequisiti

• Docker Engine 20.10+
• Docker Compose v2
• Python 3.6+ (per lo script di configurazione)
• Minimo 8 GB di RAM (16 GB consigliati)
• 20 GB di spazio su disco

Avvio rapido

1. Clona questo repository

git clone https://github.com/CSPF-Founder/api-scanner-docker.git
cd api-scanner-docker

2. Esegui lo script di configurazione

python3 setup.py

Lo script:

• Genererà password casuali sicure per tutti i servizi
• Rileverà automaticamente il tuo fuso orario
• Genererà un certificato TLS autofirmato (o userà il tuo se già presente in ./certs/)
• Scriverà il file di configurazione .env
• Offrirà di avviare lo stack Docker Compose

3. Accedi al pannello

Apri https://localhost:4455 nel tuo browser.

Se si utilizza un certificato autofirmato, il browser mostrerà un avviso di sicurezza: procedi ad accettarlo.

Configurazione manuale

Se preferisci configurare manualmente invece di usare lo script di configurazione:

1. Copia il file di esempio delle variabili d'ambiente:

cp .env.example .env

2. Modifica .env e aggiorna:

   • Tutte le password change_me_* con valori casuali forti
   • CSRF_KEY con una stringa casuale di 32+ caratteri
   • ZAP_API_KEY con una stringa casuale
   • TRUSTED_ORIGINS con il tuo dominio (es., https://scanner.yourcompany.com)
   • Assicurati che le password in DATABASE_URI e MONGO_DATABASE_URI corrispondano alle singole variabili delle password

3. Avvia lo stack:

docker compose up -d

Architettura

Configurazione

Tutta la configurazione avviene tramite il file .env. Consulta .env.example per tutte le opzioni disponibili.

Impostazioni principali

Persistenza dei dati

Tutti i dati sono archiviati in volumi Docker con nome:

• mariadb_data - Account utente, ruoli, sessioni
• mongodb_data - Registri di scansione, risultati, report
• scanner_data - File di lavoro, specifiche caricate, report generati

Aggiornamento

docker compose pull
docker compose up -d

Arresto

docker compose down

Per rimuovere tutti i dati (operazione distruttiva):

docker compose down -v

Risoluzione dei problemi

Controlla i log:

docker compose logs api-scanner
docker compose logs zap

Controlla lo stato dei servizi:

docker compose ps

ZAP non si avvia: Assicurati di avere almeno 4 GB di RAM libera. ZAP richiede circa 3 GB.

Pannello non accessibile: Verifica che i certificati TLS siano in ./certs/ e che TRUSTED_ORIGINS corrisponda al tuo URL, inclusa la porta (es., https://localhost:4455).

Errori di connessione al database: Attendi 30-60 secondi dopo il primo avvio per consentire ai database di inizializzarsi.

Documentazione

Manuale utente completo: https://cspf-founder.github.io/api-scanner-docker/