SecRadar / Классы СЗИ / API Security
Реестр российского ПО
Российские решения API Security: защита API из реестра
API Security (в западной терминологии часто вместе с WAAP — Web Application and API Protection) — класс средств для инвентаризации API (в т.ч. «теневых» и устаревших эндпоинтов), защиты от атак по классификации OWASP API Security Top-10 и поведенческого анализа трафика REST/GraphQL/gRPC. Отдельного кода класса в Реестре российского ПО нет: заявленная защита API у большинства российских вендоров — часть функциональности WAF/МЭ (03.03) или встроена в СОВ (03.14), и лишь у одного вендора в найденном срезе оформлена как отдельная продуктовая линейка.
7решений в подборке
4с действующим сертификатом ФСТЭК
SolidWall WAFвыше всех: 77 баллов
41-77разброс оценок в классе
Проверено экспертной редакцией SecRadar · по первоисточникам ФСТЭК / ФСБ / Банка России
Ниже разобрано 6 наиболее заметных российских решений класса: вендор, номер реестра, статус сертификата ФСТЭК и какой зарубежный аналог заменяют. Всё на проверяемых данных.
Редакция SecRadar · как мы проверяем факты → Обновлено 27 сентября 2026 ✓ данные из Реестра российского ПО и Госреестр СЗИ ФСТЭК
Российский аналог зарубежного API Security
Прямое сопоставление ушедших зарубежных решений с российскими из реестра. Маппинг — оценка редакции по классу задач и присутствию на рынке, не формальная сертификация «один-в-один».
заменяем Salt Security
↓
прямого зрелого аналога (выделенная платформа API-discovery + поведенческое ML-обнаружение атак без блокирующего WAF-ядра) в найденном срезе нет; ближе всего по архитектуре — линейка ПроAPI (Вебмониторэкс/WMX): модуль «Структура» для обнаружения API и модуль «Защита» для анализа трафика по позитивной модели
заменяем Noname Security
↓
честная пометка: специализированной платформы уровня Noname (API attack surface management + active/passive discovery + API-тестирование в одном продукте) в российском реестре не найдено; частично покрывают задачу нишевая Q-APISEC (Сквад) и линейка ПроAPI, но обе — существенно моложе и без сопоставимой зрелости
заменяем Imperva
↓
Positive Technologies Application Firewall (PT AF) — один из ведущих российских вендоров сетевой безопасности, WAF с модулем защиты API (JSON/XML-анализ, интеграция с Approov для мобильных API); и UserGate WAF — WAF с заявленной защитой API в сценариях интеграций и мобильных сервисов
заменяем Akamai
↓
SolidWall WAF (СолидСофт) — WAF с модулем API Gateway и реконструкцией бизнес-логики приложения; и BI.ZONE WAF — многоуровневая защита веб-приложений и API, продукт анонсирован к перезапуску («BI.ZONE WAF 2.0») в 3 кв. 2026
Сравнение российских решений
7 решенийКакие решения класса «API Security» лучшие и кто в топе рынка — ниже рейтинг 7 решений по прозрачному скору SecRadar, без пользовательских отзывов. Скор — покрытие функций, статус сертификата ФСТЭК и присутствие на рынке (оценка редакции). Реестр РПО и сертификаты ФСТЭК проверяйте по официальным реестрам — ссылки в ячейках и футере.
↔ таблицу можно прокрутить вбок
| Продукт | Вендор | Оценка | Ранг | Реестр РПО | Статус ФСТЭК | Заменяет |
|---|---|---|---|---|---|---|
| SolidWall WAF | СолидСофт (SolidLab) | 77 | WAF с модулем API Gateway и реконструкцией бизнес-логики приложения; защита API заявлена как часть функциональности WAF (оценка редакции) | реестр РПО | ФСТЭК №4652 до 2028-02-132 | Akamai |
| Positive Technologies Application Firewall (PT AF) | Positive Technologies (ООО «Прорывные Технологии») | 71 | Один из ведущих российских вендоров сетевой безопасности; API — часть функциональности WAF, не отдельный продукт (оценка редакции) | реестр РПО | ФСТЭК №3455, 3455/1 до 2026-10-271 | Imperva |
| ПроAPI (Структура + Защита) | Вебмониторэкс / WMX | 68 | Единственная в найденном срезе выделенная продуктовая линейка именно под API security (не WAF с довеском): «Структура» — discovery API и теневых эндпоинтов, «Защита» — анализ трафика по позитивной модели (оценка редакции) | реестр РПО | нет серта3 | Salt Security |
| Platform V SOWA | СберТех (Сбербанк-Технологии) | 58 | Добавлен 26.09.2026: продукта не было в классе. Матрица подтверждает 6,5 из 10 признаков по документации вендора (305 страниц). Не путать с Platform V SOWA AI — это другой продукт того же вендора, про защиту работы с ИИ, и публичной документации у него пока нет | реестр РПО | нет серта | Salt Security / 42Crunch |
| BI.ZONE WAF | БИЗон | 48 | Многоуровневая защита веб-приложений и API (заявлено вендором), продукт в процессе перезапуска («BI.ZONE WAF 2.0», пилоты — 3 кв. 2026), рыночная позиция временно нестабильна (оценка редакции) | нет в реестре | ФСТЭК №4632 до 2027-12-155 | Akamai |
| UserGate WAF | Юзергейт | 41 | Новый продукт в экосистеме UserGate (старт продаж — июнь 2025), заявлена защита API в интеграционных и мобильных сценариях (оценка редакции) | реестр РПО | ФСТЭК №3905 до 2031-03-264 | Imperva |
| Q-APISEC | Сквад (Squad) | 41 | Нишевая молодая выделенная платформа API security (discovery, аномалии, режим proxy/зеркалирования, API-тестирование); низкая публичная известность (оценка редакции) | реестр РПО | нет серта6 | Noname Security |
Видите ошибку в строке своего продукта?
Напишите на info@secradar.ru — проверим и исправим, указав дату правки. Так уже поправлены оценки нескольких вендоров.
Оценку меняем только по проверяемому источнику: ссылка на документацию, руководство администратора или отраслевое сравнение. «У нас это есть» без источника не подойдёт — по такому утверждению читатель не сможет проверить нас так же, как проверяет вендора. Место в рейтинге не продаётся, размещение значка на оценку не влияет: как мы проверяем факты.
Пометки к статусам ФСТЭК
- Positive Technologies Application Firewall (PT AF) — ФСТЭК России №3455 (АО «Позитив Текнолоджиз») и №3455/1 (ООО «Прорывные технологии»), внесены 27.10.2015, действуют до 27.10.2026 (источник: source-raw/fstec_reg3.csv, срез 2026-07-03) — профиль защиты МЭ Г четвёртого класса (ИТ.МЭ.Г4.ПЗ). Сертификат покрывает WAF-функциональность в целом; отдельного профиля защиты именно API/OWASP API Top-10 в требованиях ФСТЭК не существует. До истечения ~3,5 месяца от даты проверки — статус перевыпуска стоит уточнить у вендора
- SolidWall WAF — ФСТЭК России №4652, внесён 15.02.2023, действует до 13.02.2028 (source-raw/fstec_reg3.csv, срез 2026-07-03) — профиль защиты МЭ Г четвёртого класса (ИТ.МЭ.Г4.ПЗ). Сертификат на WAF-функциональность в целом, отдельного профиля защиты API в требованиях ФСТЭК нет
- ПроAPI (Структура + Защита) — Честная пометка: по заявлению вендора (июнь 2026) сертификация ФСТЭК на линейку ПроAPI начата, но на дату проверки (2026-07-03) действующего сертификата на ПроAPI в Госреестре СЗИ ФСТЭК (source-raw/fstec_reg3.csv) не найдено. У платформы WMX есть отдельный сертификат №4899 (WAF, действ. до 2029-12-28) — но он выдан на другой продукт («платформа защиты веб-приложений «Вебмониторэкс»»), а не на линейку ПроAPI. В Реестре российского ПО оба продукта присутствуют: «ПроAPI Структура» №22721 (вкл. 06.06.2024) и «ПроAPI Защита» №23742 (вкл. 29.08.2024) — источник: официальный XML-дамп Минцифры от 2026-07-06/07
- UserGate WAF — Честная пометка: отдельного сертификата ФСТЭК именно на UserGate WAF в source-raw/fstec_reg3.csv (срез 2026-07-03) не найдено. Действующий сертификат №3905, внесён 26.03.2018, действует до 26.03.2031, выдан на базовый «Межсетевой экран «UserGate»» — покрывает в т.ч. профиль защиты МЭ Г четвёртого класса (ИТ.МЭ.Г4.ПЗ), но не проверялся отдельно на функциональность WAF/API-модуля ПЕРЕСМОТР 18.09.2026: комплаенс 40 — сертификат №3905 выдан на «Межсетевой экран UserGate» — другой продукт вендора; на UserGate WAF сертификата нет, остаётся реестровый статус. Правило зачёта сертификата (18.09.2026): полный зачёт — если в наименовании сертификата назван сам продукт строки; 60 — если сертификат выдан на платформу или комплекс, в состав которого входит модуль, а сам модуль в наименовании не назван; без зачёта — если сертификат выдан на другой продукт вендора. Введено после разбора класса ASOC: один сертификат засчитывался разным модулям с разбросом комплаенса от 50 до 100.
- BI.ZONE WAF — ФСТЭК России №4632 («межсетевой экран «BI.ZONE WAF»»), внесён 15.12.2022, действует до 15.12.2027 (source-raw/fstec_reg3.csv, срез 2026-07-03) — профиль защиты МЭ Г четвёртого класса, заявитель ООО «БИЗон». В Реестре российского ПО на дату проверки продукт НЕ найден: по официальному XML-дампу Минцифры (2026-07-07) у BI.ZONE 27 продуктов в реестре (SIEM, EDR, SOAR, Mail Security и др.), но WAF среди них нет — ранее встречавшийся №8909 в актуальной выгрузке отсутствует целиком (возможное исключение в начале июля 2026 г. либо технический сбой выгрузки — требует ручной проверки на reestr.digital.gov.ru перед закупкой для КИИ/госсектора). ФСТЭК-сертификат при этом остаётся действующим
- Q-APISEC — Честная пометка: действующего сертификата ФСТЭК в source-raw/fstec_reg3.csv (срез 2026-07-03) на Q-APISEC не найдено — в РФ вообще нет отдельного профиля защиты для класса API security, сертифицируются только смежные МЭ/СОВ-функции. Продукт включён в Реестр российского ПО №21826 (вкл. 15.03.2024, не исключён) — источник: официальный XML-дамп Минцифры от 2026-07-06/07. Вендор ООО «СКВАД» (ОГРН 1227700222144) зарегистрирован в 2022 г.
факт проверяемый факт с источником реестр запись в госреестре, ссылка на карточку/поиск оценка редакционная оценка SecRadar
Номера сертификатов ФСТЭК меняются при перерегистрации — проверяйте актуальный статус в источнике: Госреестр СЗИ ФСТЭК. Пользовательские отзывы в скоре не используются.
Функциональность: что подтверждено документацией
Критерии в этом классе ВЗВЕШЕНЫ: критичный весит 3, важный 2, дополнительный 1, и у каждого написано, почему ему дан такой вес. Так поддержка условия внедрения не приравнивается к редкой дополнительной функции. Вес назначает редакция — это наше решение, а не заявление вендора. Ось «возможности» в рейтинге этого класса считается ПРЯМО ИЗ ЭТОЙ ТАБЛИЦЫ: доля подтверждённых признаков и есть балл, редакционной оценки здесь нет. Оценка ставится только при наличии источника: ✓ — функция описана в документации вендора, ½ — описана частично или с оговоркой, «—» — искали и не нашли, «·» — не проверяли. «Не проверяли» означает, что мы не нашли публичного описания, а не что функции нет: глубина доступных источников у вендоров разная, и это само по себе результат измерения.
Откуда данные. Основа — анкета Anti-Malware «Сравнение российских WAF — 2026» с отдельным блоком «API Firewall»: она покрывает PT AF, SolidWall WAF и «Вебмониторэкс ПроWAF» (частью которого поставляется ПроAPI) с одинаковой глубиной. Остальные проверены по сайтам и документации вендоров.
Нажмите на подчёркнутую оценку в матрице, чтобы открыть её обоснование. «Уточнить эту оценку» подготовит письмо редакции — отправить его нужно в почтовой программе.
| Решение | Инвентаризация API | Контроль по спецификации | Защита от OWASP API Top 10 | Противодействие ботам | Контроль чувствительных данных в ответах | Поведенческая аналитика трафика | Ограничение частоты и квоты | Варианты развёртывания | Встраивание в разработку | Выгрузка и интеграции | Подтверждено |
|---|---|---|---|---|---|---|---|---|---|---|---|
| SolidWall WAF отраслевой обзор | ½ | ½ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | 9 из 10 |
| Positive Technologies Application Firewall (PT AF) документация | — | — | ✓ | ✓ | ½ | ½ | ½ | ½ | — | ✓ | 5 из 10 |
| ПроAPI (Структура + Защита) отраслевой обзор | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | 10 из 10 |
| Platform V SOWA документация | — | ✓ | ✓ | ½ | ½ | ½ | ✓ | ✓ | — | ✓ | 6.5 из 10 |
| BI.ZONE WAF документация | — | — | ½ | ✓ | ½ | ½ | ✓ | ✓ | — | — | 4.5 из 10 |
| UserGate WAF документация | — | — | — | ½ | — | — | ✓ | ½ | — | ½ | 2.5 из 10 |
| Q-APISEC страница продукта | ✓ | — | ✓ | ½ | ✓ | ✓ | — | ✓ | — | ✓ | 6.5 из 10 |
✓ подтверждено½ частично— не найдено— вендор заявляет осознанный отказ· не проверяли
На чём стоит строка:документацияподтв. вендоромреестротраслевой обзорстраница продуктане оценивалось
Балл считается одинаково независимо от источника — но источники разной силы, и мы показываем какой. Руководство администратора проверяемо по разделу, отраслевой обзор пересказывает вендора, рекламная страница не обязана быть полной. «Не оценивалось» означает, что признаки у строки не проставлены ни по одному источнику: продукт в каталоге есть, а разбора ещё нет. Это наш пробел, и он виден намеренно.
- Инвентаризация APIкритичный — Автоматическое обнаружение эндпоинтов, включая недокументированные и забытые (shadow/zombie API)
Почему такой вес: нельзя защитить то, чего не видно: инвентаризация API — первая функция класса - Контроль по спецификацииважный — Импорт OpenAPI/Swagger и проверка запросов на соответствие схеме
Почему такой вес: контроль по спецификации точен, но требует поддерживаемой схемы, которая есть не у всех API - Защита от OWASP API Top 10критичный — Противодействие типовым атакам на API: BOLA, некорректная авторизация, массовое присвоение
Почему такой вес: OWASP API Top 10 — общепринятый минимум того, от чего продукт обязан защищать - Противодействие ботамважный — Выявление автоматизированного трафика и злоупотреблений бизнес-логикой
Почему такой вес: боты создают основную паразитную нагрузку на API, но противодействие им бывает отдельным продуктом - Контроль чувствительных данных в ответахважный — Обнаружение персональных данных и секретов, уходящих через API
Почему такой вес: утечка чувствительных данных в ответе — частый дефект API; проверка ценна, но не универсальна - Поведенческая аналитика трафикаважный — Выявление аномалий в использовании API, а не только сигнатуры
Почему такой вес: поведенческая аналитика находит логические злоупотребления, которые не ловятся сигнатурами - Ограничение частоты и квотыважный — Настраиваемые лимиты по клиенту, токену или эндпоинту
Почему такой вес: квоты и ограничение частоты нередко реализованы шлюзом API, а не средством защиты - Варианты развёртыванияважный — On-premise и облако, либо работа в разрыве и в режиме зеркала
Почему такой вес: варианты развёртывания определяют применимость в закрытом контуре - Встраивание в разработкудополнительный — Проверка API на этапе CI/CD или передача находок разработчикам
Почему такой вес: встраивание в разработку смещает контроль влево, но это зрелая практика меньшинства - Выгрузка и интеграцииважный — API продукта, экспорт событий или коннекторы к SIEM/SOAR
Почему такой вес: выгрузка в SIEM нужна для расследований, однако заменяется журналом
Проверьте нас. Под каждой оценкой ✓ и ½ ниже указан источник — конкретная страница документации вендора или отраслевого сравнения, по которой мы её поставили. Оценка без источника в таблицу не попадает: это проверяется автоматически при сборке сайта. Место в рейтинге не продаётся, и размещение значка вендором на оценку не влияет.
Источники под каждой оценкой (52)
| Решение | Признак | Чем подтверждено |
|---|---|---|
| SolidWall WAF | Инвентаризация API | «Обнаружение и блокировка точек ввода данных — Да (при интеграции с DAST)», сканер уязвимостей — также через интеграцию с DAST; собственной инвентаризации API не заявлено[1]Уточнить эту оценку ↗ |
| SolidWall WAF | Контроль по спецификации | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: работа с JSON Schema; импорт OpenAPI/Swagger не подтверждён, поэтому 0.5Уточнить эту оценку ↗ |
| SolidWall WAF | Защита от OWASP API Top 10 | «Функциональность API Firewall — Да», «Аутентификация и авторизация запросов к API — Да», «Проверка входящих данных на наличие вредоносных инъекций — Да», «Мониторинг и аудит активности API — Да»[1]Уточнить эту оценку ↗ |
| SolidWall WAF | Противодействие ботам | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: противодействие ботам и обнаружение аномальной активности пользователей у всех сравниваемых продуктовУточнить эту оценку ↗ |
| SolidWall WAF | Контроль чувствительных данных в ответах | «Защита от утечек информации (Web Scraping и пр.) — Да», «Маскирование конфиденциальных данных в фиксируемом событии — Да»[1]Уточнить эту оценку ↗ |
| SolidWall WAF | Поведенческая аналитика трафика | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: поведенческий анализ — обнаружение аномальной и подозрительной активности пользователейУточнить эту оценку ↗ |
| SolidWall WAF | Ограничение частоты и квоты | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: контроль частоты запросов присутствует у всех шести решенийУточнить эту оценку ↗ |
| SolidWall WAF | Варианты развёртывания | облачная версия, standalone для IaaS, ПАК через дистрибьюторов, поставка пакетами Ubuntu/Debian/Astra и развёртывание в контейнере; режимы «сниффер» и «обратный прокси»[1]Уточнить эту оценку ↗ |
| SolidWall WAF | Встраивание в разработку | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: интеграция с DevOps/CI-CD указана для SolidWall WAFУточнить эту оценку ↗ |
| SolidWall WAF | Выгрузка и интеграции | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: интеграция с SIEM (Syslog, Email) у всех вендоровУточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Защита от OWASP API Top 10 | группы правил системного набора закрывают часть атак на программные интерфейсы: «Эксплуатация уязвимостей из списка CVE», CSRF, контроль доступа, плюс названные HPP, HPC и XXE[2]Уточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Противодействие ботам | отдельная группа правил «Боты» — «используется для обнаружения запросов от автоматизированных систем»[2]Уточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Контроль чувствительных данных в ответах | частично. документация вендора, help.ptsecurity.com/ru-RU/projects/af/4.5.0 (полный обход 24.09.2026, 617 страниц, 2,26 млн знаков) — маскирование чувствительных значений описано и работает по именам полей: системное действие «Log to db» «позволяет сохранять необработанные данные события безопасности и маскировать значения полей с названиями: api, token, key, secret, private, pass, password, authorization, access_token, private_token»; есть и настройка «Маскировать совпавшие переменные». Половина балла, потому что критерий про ответы клиенту, а описанное маскирование относится к тому, что сохраняется в событии безопасности. ИСПРАВЛЕНО: прежнее «справка не описывает» стояло на обрезанном обходе и было невернымУточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Поведенческая аналитика трафика | частично. документация вендора, help.ptsecurity.com/ru-RU/projects/af/4.5.0 (полный обход 24.09.2026, 617 страниц, 2,26 млн знаков) — «система оценивает естественность поведения пользователя и возвращает оценку для каждого запроса. Если поведение пользователя оценено как аномальное, PT AF активирует защитные действия для вашего веб-приложения». Половина балла: оценка приходит от reCAPTCHA v3 (правило «Вставлять reCAPTCHA v3 в веб-страницы»), то есть это внешний сигнал о поведении пользователя, а не собственная аналитика трафика API, которой требует критерий. ИСПРАВЛЕНО: прежнее «поведенческой аналитики в справке нет» было невернымУточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Ограничение частоты и квоты | частично. документация вендора, help.ptsecurity.com/ru-RU/projects/af/4.5.0 (полный обход 24.09.2026, 617 страниц, 2,26 млн знаков) — в каталоге правил есть «Ограничить количество запросов в единицу времени» с тегом «безопасность API» и классификацией OWASP 2023-API4. Половина балла: это лимит частоты, а квот по клиенту или токену, которых требует критерий, в документации нет. ИСПРАВЛЕНО: прежний ноль стоял на обрезанном обходеУточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Варианты развёртывания | частично: режим обратного прокси-сервера «в разрыв», поставка программно-аппаратным или виртуальным комплексом, мультиарендность и несколько центров обработки данных; облачной модели справка не описывает[2]Уточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Выгрузка и интеграции | «настраиваемый формат syslog-сообщений» для выгрузки событий, «Справочное руководство по REST API» отдельным разделом[2]Уточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Инвентаризация API | webmonitorx.ru/api — модуль «Структура» определяет фактический состав API и эндпоинты, выявляет теневые (shadow), неиспользуемые (orphan) и призрачные (zombie) APIУточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Контроль по спецификации | docs.webmonitorx.ru/api-protection/overview/ — загрузка спецификации OAS, сравнение с фактическим трафиком и проверка запросов на соответствие OpenAPI 3.0. Оценка 1 по документации модуля; в сводной таблице Anti-Malware валидация схем у ПроWAF отмечена как «в дорожной карте на 2026» — расхождение источников, предпочтение отдано документации самого модуля как более конкретной.Уточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Защита от OWASP API Top 10 | «Функциональность API Firewall — Да», «Аутентификация и авторизация запросов к API — Да», «Проверка входящих данных на наличие вредоносных инъекций — Да» (анкета Anti-Malware «Сравнение российских WAF — 2026», блок «API Firewall» и смежные, anti-malware.ru/compare/Russian-WAF-2026); в документации отдельный раздел «Защита от BOLA» и «Валидация JWT токенов в OAuth 2.0 аутентификации» — документация Вебмониторэкс, раздел «ПроAPI Защита», docs.webmonitorx.ru/api-protection/overview/Уточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Противодействие ботам | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: противодействие ботам у всех сравниваемых продуктов, включая Вебмониторэкс ПроWAF, модулем которого является ПроAPIУточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Контроль чувствительных данных в ответах | docs.webmonitorx.ru/api-protection/overview/ — предотвращение утечек данных проверкой ответов приложения на соответствие спецификации; выявление API, через которые передаётся чувствительная информацияУточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Поведенческая аналитика трафика | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: обнаружение аномальной и подозрительной активности пользователейУточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Ограничение частоты и квоты | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: контроль частоты запросов присутствует у всех шести решенийУточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Варианты развёртывания | облачная версия, standalone для IaaS, ПАК через партнёров, развёртывание в контейнере, зеркалирование L7-трафика и обратный прокси (анкета Anti-Malware «Сравнение российских WAF — 2026», блок «API Firewall» и смежные, anti-malware.ru/compare/Russian-WAF-2026); в документации — запуск Docker-образа на Angie, Ingress-контроллер NGINX в Kubernetes, нода с мультиарендной опцией — документация Вебмониторэкс, раздел «ПроAPI Защита», docs.webmonitorx.ru/api-protection/overview/Уточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Встраивание в разработку | safe.cnews.ru/news/line/2026-06-03_wmx_perezapuskaet_proapi — компонент «Тестирование»: поиск ошибок и уязвимостей в API на основе OpenAPI-спецификацииУточнить эту оценку ↗ |
| ПроAPI (Структура + Защита) | Выгрузка и интеграции | anti-malware.ru/compare/Russian-WAF-2026 — сравнение российских WAF 2026, раздел «API Firewall»: интеграция с SIEM (Syslog, Email) у всех вендоровУточнить эту оценку ↗ |
| Platform V SOWA | Контроль по спецификации | OpenAPI и Swagger — 35 упоминаний, валидация схем, контроль по спецификации[3]Уточнить эту оценку ↗ |
| Platform V SOWA | Защита от OWASP API Top 10 | отдельный раздел «Защита API от актуальных киберугроз»: «Platform V SOWA реализует механизмы защиты от рисков OWASP API Top security risks на уровне контроля и проверки вызовов API, осуществляя фильтрацию и валидацию передаваемых данных»[3]Уточнить эту оценку ↗ |
| Platform V SOWA | Противодействие ботам | противодействие ботам упомянуто один раз и как возможность подключаемого ModSecurity: «автоматическое обнаружение ботов, сканеров и другой вредоносной активности». Собственного механизма и его настройки в документации нет, поэтому половина[3]Уточнить эту оценку ↗ |
| Platform V SOWA | Контроль чувствительных данных в ответах | ВНИМАНИЕ НА ФОРМУЛИРОВКУ: маскирование в продукте есть, но это log_masking_rules — правила маскирования данных в заголовках и телах запросов и ответов В ЛОГАХ (request_header, response_header, request_body, response_body). Критерий же про контроль чувствительных данных в ответах клиенту. Механизм близкий, но не тот, поэтому половина[3]Уточнить эту оценку ↗ |
| Platform V SOWA | Поведенческая аналитика трафика | поведенческой аналитики трафика нет. Есть anomaly score — счётчик важности сработавших правил WAF, позволяющий понижать и повышать чувствительность. Это правиловый механизм, а не поведенческий анализ, поэтому половина[3]Уточнить эту оценку ↗ |
| Platform V SOWA | Ограничение частоты и квоты | лимитирование и квоты — по 15 упоминаний, настройка ограничения частоты описана[3]Уточнить эту оценку ↗ |
| Platform V SOWA | Варианты развёртывания | развёртывание в Kubernetes и on-premise, 99 упоминаний; описаны варианты установки[3]Уточнить эту оценку ↗ |
| Platform V SOWA | Выгрузка и интеграции | интеграция с SIEM через syslog, MQ, Kafka и HTTP; интеграции с АВПО и DLP по ICAP; 56 упоминаний интеграции[3]Уточнить эту оценку ↗ |
| BI.ZONE WAF | Защита от OWASP API Top 10 | bi.zone/eng/catalog/products/waf/ — обнаружение рисков OWASP Top 10 на всех уровнях вложенности; это веб-список OWASP, а не OWASP API Top 10, поэтому 0.5Уточнить эту оценку ↗ |
| BI.ZONE WAF | Противодействие ботам | bi.zone/eng/catalog/products/waf/ — управление бот-трафиком (bot mitigation)Уточнить эту оценку ↗ |
| BI.ZONE WAF | Контроль чувствительных данных в ответах | правила проверяют содержимое ОТВЕТА (response.body) регулярными выражениями и словарями, механизм контроля утечек есть; готовых наборов признаков персональных данных и секретов в документации не описано, поэтому 0,5; документация BI.ZONE WAF, help.bi.zone/docs/waf/waf/user-guide/request-response-processingУточнить эту оценку ↗ |
| BI.ZONE WAF | Поведенческая аналитика трафика | «Блокирует атаки, направленные на отказ в обслуживании, с помощью поведенческого, корреляционного анализа» и «поведенческие проверки (JS Challenge, CAPTCHA)»; аналитика именно API-трафика не описана; страница продукта BI.ZONE WAF, bi.zone/catalog/products/waf/Уточнить эту оценку ↗ |
| BI.ZONE WAF | Ограничение частоты и квоты | API-шлюз выполняет маршрутизацию, ограничение количества и скорости запросов, фильтрацию по IP и проверку CORS; документация BI.ZONE WAF, help.bi.zone/docs/waf/waf/about/architectureУточнить эту оценку ↗ |
| BI.ZONE WAF | Варианты развёртывания | облачный и гибридный варианты (узлы в инфраструктуре клиента); страница продукта BI.ZONE WAF, bi.zone/catalog/products/waf/Уточнить эту оценку ↗ |
| UserGate WAF | Противодействие ботам | «правила Antibot» — предустановленный набор правил; механизм выявления автоматизированного трафика не описан[4]Уточнить эту оценку ↗ |
| UserGate WAF | Ограничение частоты и квоты | support.usergate.com/docs/version/7.x/usergate-ngfw-710/waf-0 — ограничение частоты запросов (Rate Limiting) для предотвращения злоупотреблений через API-эндпоинтыУточнить эту оценку ↗ |
| UserGate WAF | Варианты развёртывания | описан один режим — «публикация внутренних ресурсов через WAF с помощью правил reverse-прокси»[4]Уточнить эту оценку ↗ |
| UserGate WAF | Выгрузка и интеграции | «автоматическая выгрузка журналов сработавших WAF-правил на удаленный сервер по SSH, FTP, syslog»; коннекторов к SIEM/SOAR и программного интерфейса продукта не описано[4]Уточнить эту оценку ↗ |
| Q-APISEC | Инвентаризация API | squadsec.ru — обнаруживает и анализирует все ваши APIУточнить эту оценку ↗ |
| Q-APISEC | Защита от OWASP API Top 10 | обнаруживает «известные и неизвестные атаки на API, включая внутренние и внешние атаки на API, эксплуатацию уязвимостей OWASP, атаки на бизнес-логику, злоупотребление API, мошенничество с API, включая кражу данных»; сайт продукта Q-APISec, squadsec.ruУточнить эту оценку ↗ |
| Q-APISEC | Противодействие ботам | заявлена интеграция со «средствами обнаружения ботов»; собственного противодействия ботам нет; сайт продукта Q-APISec, squadsec.ruУточнить эту оценку ↗ |
| Q-APISEC | Контроль чувствительных данных в ответах | среди выявляемых проблем — «публикация чувствительных данных (пароли, секреты, персональные данные); административные или устаревшие API»; сайт продукта Q-APISec, squadsec.ruУточнить эту оценку ↗ |
| Q-APISEC | Поведенческая аналитика трафика | squadsec.ru — выявление аномалий и сбор данных для threat huntingУточнить эту оценку ↗ |
| Q-APISEC | Варианты развёртывания | squadsec.ru — режим прокси, включая прозрачное проксирование, и режим копии запросов и ответов; развёртывание в инфраструктуре, частном облаке или как SaaSУточнить эту оценку ↗ |
| Q-APISEC | Выгрузка и интеграции | заявлена интеграция с «шлюзами API; файрволами веб-приложений (WAF); системами управления событиями информационной безопасности (SIEM); средствами обнаружения ботов и средствами защиты от утечек (DLP)»; сайт продукта Q-APISec, squadsec.ruУточнить эту оценку ↗ |
Источники, на которые ссылаются номера в таблице
- [1] анкета Anti-Malware «Сравнение российских WAF — 2026», блок «API Firewall» и смежные, anti-malware.ru/compare/Russian-WAF-2026
- [2] документация вендора, справочный портал help.ptsecurity.com — «PT AF PRO 4.5.0. Справка» (обход 21.09.2026, 120 страниц)
- [3] документация вендора: platformv.sbertech.ru/docs/public/SWA/6.1.0/ (305 страниц, 1,47 млн знаков), обход 26.09.2026
- [4] руководство администратора UserGate WAF 7.x, docs.usergate.com/obshie-svedeniya_2054.html; раздел WAF, support.usergate.com/docs/version/7.x/usergate-ngfw-710/waf-0
Где мы искали и не нашли (18)
Знак «—» в таблице означает, что функцию искали и не нашли. Ниже сказано, где именно искали: в каком документе, какой версии и по каким словам. Если функция есть, а мы её пропустили — напишите, поправим по первоисточнику.
| Решение | Признак | Где искали |
|---|---|---|
| Positive Technologies Application Firewall (PT AF) | Инвентаризация API | искали и не нашли, проверено по полному обходу: автоматического обнаружения эндпоинтов API документация не описывает, единственное совпадение слова «инвентаризация» относится к объектам VMware при развёртывании образа. Источник — документация вендора, help.ptsecurity.com/ru-RU/projects/af/4.5.0 (полный обход 24.09.2026, 617 страниц, 2,26 млн знаков)Уточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Контроль по спецификации | искали и не нашли, проверено по полному обходу: во всей документации нет ни одного упоминания OpenAPI, Swagger, JSON Schema, WSDL или .xsd. Источник — документация вендора, help.ptsecurity.com/ru-RU/projects/af/4.5.0 (полный обход 24.09.2026, 617 страниц, 2,26 млн знаков)Уточнить эту оценку ↗ |
| Positive Technologies Application Firewall (PT AF) | Встраивание в разработку | проверки API на этапе разработки или передачи находок в конвейер сборки справка не описывает; искали — не нашли — документация вендора, справочный портал help.ptsecurity.com — «PT AF PRO 4.5.0. Справка» (обход 21.09.2026, 120 страниц)Уточнить эту оценку ↗ |
| Platform V SOWA | Инвентаризация API | инвентаризации API нет: «каталог API», «обнаружение API», «реестр API», теневые API — ноль вхождений на 1,47 млн знаков. Продукт защищает то, что ему отдали в конфигурации, а не обнаруживает API сам. документация вендора: platformv.sbertech.ru/docs/public/SWA/6.1.0/ (305 страниц, 1,47 млн знаков), обход 26.09.2026Уточнить эту оценку ↗ |
| Platform V SOWA | Встраивание в разработку | встраивания в конвейер разработки нет: CI/CD, DevSecOps — ноль вхождений. документация вендора: platformv.sbertech.ru/docs/public/SWA/6.1.0/ (305 страниц, 1,47 млн знаков), обход 26.09.2026Уточнить эту оценку ↗ |
| BI.ZONE WAF | Инвентаризация API | искали в документации — инвентаризация эндпоинтов не описана: домены добавляются вручную в разделе «Домены», автоматического обнаружения API нет; документация BI.ZONE WAF, help.bi.zone/docs/waf/waf/user-guide/domainsУточнить эту оценку ↗ |
| BI.ZONE WAF | Контроль по спецификации | искали в документации — импорт OpenAPI/Swagger и проверка по схеме не описаны; правила задаются условиями по элементам запроса, а не по спецификации; документация BI.ZONE WAF, help.bi.zone/docs/waf/waf/user-guide/rules-and-templatesУточнить эту оценку ↗ |
| BI.ZONE WAF | Встраивание в разработку | искали в документации — проверок на этапе CI/CD и передачи находок разработчикам не описано; документация BI.ZONE WAF, help.bi.zone/docs/waf/waf/wafУточнить эту оценку ↗ |
| BI.ZONE WAF | Выгрузка и интеграции | искали в документации — экспорта событий и коннекторов к SIEM/SOAR не описано: журнал атак и журнал событий доступны только в веб-интерфейсе, события уходят во внутренний ClickHouse через Fluent Bit; документация BI.ZONE WAF, help.bi.zone/docs/waf/waf/user-guide/event-logУточнить эту оценку ↗ |
| UserGate WAF | Инвентаризация API | искали в руководстве администратора — инвентаризация API не описана; руководство администратора UserGate WAF 7.x, docs.usergate.com/obshie-svedeniya_2054.html; раздел WAF, support.usergate.com/docs/version/7.x/usergate-ngfw-710/waf-0Уточнить эту оценку ↗ |
| UserGate WAF | Контроль по спецификации | искали в руководстве администратора — импорт OpenAPI и валидация по схеме не описаны; руководство администратора UserGate WAF 7.x, docs.usergate.com/obshie-svedeniya_2054.html; раздел WAF, support.usergate.com/docs/version/7.x/usergate-ngfw-710/waf-0Уточнить эту оценку ↗ |
| UserGate WAF | Защита от OWASP API Top 10 | предустановлен «Пакет Owasp Top10» для веб-атак; отдельного набора под OWASP API Top 10 нет; руководство администратора UserGate WAF 7.x, docs.usergate.com/obshie-svedeniya_2054.html; раздел WAF, support.usergate.com/docs/version/7.x/usergate-ngfw-710/waf-0Уточнить эту оценку ↗ |
| UserGate WAF | Контроль чувствительных данных в ответах | искали в руководстве администратора — контроль чувствительных данных в ответах не описан; руководство администратора UserGate WAF 7.x, docs.usergate.com/obshie-svedeniya_2054.html; раздел WAF, support.usergate.com/docs/version/7.x/usergate-ngfw-710/waf-0Уточнить эту оценку ↗ |
| UserGate WAF | Поведенческая аналитика трафика | искали в руководстве администратора — поведенческая аналитика не описана; руководство администратора UserGate WAF 7.x, docs.usergate.com/obshie-svedeniya_2054.html; раздел WAF, support.usergate.com/docs/version/7.x/usergate-ngfw-710/waf-0Уточнить эту оценку ↗ |
| UserGate WAF | Встраивание в разработку | искали в руководстве администратора — встраивание в разработку не описано; руководство администратора UserGate WAF 7.x, docs.usergate.com/obshie-svedeniya_2054.html; раздел WAF, support.usergate.com/docs/version/7.x/usergate-ngfw-710/waf-0Уточнить эту оценку ↗ |
| Q-APISEC | Контроль по спецификации | искали на сайте продукта — импорт спецификации OpenAPI/Swagger и проверка по схеме не заявлены; сайт продукта Q-APISec, squadsec.ruУточнить эту оценку ↗ |
| Q-APISEC | Ограничение частоты и квоты | искали на сайте продукта — ограничение частоты запросов и квоты не заявлены; сайт продукта Q-APISec, squadsec.ruУточнить эту оценку ↗ |
| Q-APISEC | Встраивание в разработку | искали на сайте продукта — встраивание в конвейер разработки не заявлено; сайт продукта Q-APISec, squadsec.ruУточнить эту оценку ↗ |
Примечания к строкам (4)
- Positive Technologies Application Firewall (PT AF) — Переоценено 21.09.2026 по документации вендора. Существенно: справка PT AF PRO 4.5.0 не описывает специализированных средств защиты API — ни инвентаризации эндпоинтов, ни контроля по спецификации OpenAPI, ни квот. Это веб-файрвол, закрывающий часть задач класса, а не отдельное средство API-security.
- ПроAPI (Структура + Защита) — В анкете Anti-Malware продукт представлен как «Вебмониторэкс ПроWAF»: ПроAPI — его модуль, отдельно не поставляется, поэтому ответы анкеты по блоку API Firewall относятся к нему напрямую. Собственная документация ПроAPI подтверждает это отдельно.
- BI.ZONE WAF — Защита API у BI.ZONE WAF заявлена одной строкой («Многоуровневая защита веб-приложений и API») без раскрытия механизмов. Вендор объявил перезапуск продукта: BI.ZONE WAF 2.0 выходит в бета-релиз в третьем квартале 2026 года, с новым ядром и API управления. Проверено по документации help.bi.zone (сентябрь 2026): GOWAF разбирает http, https, grpc, ws и gql, раскрывает многократное кодирование (Base64, Hex, JWT, GZIP, XML, HTML-сущности), сигнатуры libinjection для SQLi/XSS и Hyperscan для регулярных выражений.
- UserGate WAF — Защита API как отдельная функциональность у продукта не заявлена: в перечне «Основные функции UserGate WAF» её нет. Низкий балл в этом классе отражает именно это, а в классе WAF продукт оценивается по своим, веб-критериям.
Как считаются эти таблицы и сколько функциональности российских СЗИ вообще описано публично — в исследовании «57% функциональности не описано публично».
Частые вопросы
Что такое API Security?
API Security (часто вместе с термином WAAP — Web Application and API Protection) — класс средств защиты программных интерфейсов (REST, GraphQL, gRPC, SOAP): инвентаризация всех используемых API, включая «теневые» и устаревшие эндпоинты, контроль их состава относительно спецификации (OpenAPI/Swagger), обнаружение и блокировка специфичных для API атак — в отличие от классической защиты веб-страниц, здесь важны бизнес-логика вызовов, авторизация на уровне объектов и аномальные паттерны обращений к данным.
Что такое OWASP API Security Top-10?
Это отдельный от классического OWASP Top-10 список наиболее критичных рисков именно для API, который ведёт сообщество OWASP: сломанная авторизация на уровне объектов (BOLA), сломанная аутентификация, excessive data exposure (избыточная выдача данных в ответах API), отсутствие ограничения частоты запросов (rate limiting), небезопасное управление ресурсами и активами API (в т.ч. теневые/устаревшие версии) и другие. Российские сертификационные требования ФСТЭК отдельного профиля защиты под этот список не содержат — соответствие проверяется по функциональным заявлениям вендора, а не по формальному сертификату.
Чем API Security отличается от обычного WAF?
Классический WAF анализирует HTTP-трафик к веб-приложению и хорошо ловит типовые сигнатурные атаки (SQL-инъекции, XSS) на уровне запроса. API Security добавляет то, что WAF в базовой конфигурации не видит: полную инвентаризацию API (в т.ч. эндпоинтов, о которых ИБ-служба не знает), сверку с формальной спецификацией, контроль авторизации на уровне отдельных объектов и полей данных, поведенческий анализ последовательности вызовов. На практике большинство российских вендоров (см. таблицу) продают защиту API как модуль внутри WAF, а не как самостоятельный продукт — честно это указано в колонке «сертификат» и профиле каждого решения.
Какие российские решения для защиты API есть на рынке?
Наиболее специализированная выделенная линейка — «ПроAPI» (Вебмониторэкс/WMX, модули «Структура» и «Защита»), у неё пока нет завершённой сертификации ФСТЭК. Крупные вендоры WAF заявляют защиту API как часть своей функциональности: Positive Technologies Application Firewall (PT AF), SolidWall WAF, UserGate WAF, BI.ZONE WAF. Нишевая нецентрализованная платформа Q-APISEC (Сквад) специализируется на discovery и мониторинге API, но без публично подтверждённой сертификации. Продукт Wallarm, несмотря на российские корни команды, юридически зарегистрирован в США (Wallarm Inc., Сан-Франциско) и в Реестре российского ПО не значится — в сравнение он не включён. При этом «Вебмониторэкс» — прямой правопреемник оригинальной платформы «Валарм»: права на неё были переданы российскому юрлицу в октябре 2022 г., поэтому именно ПроAPI ближе всего к исходной технологии по происхождению.
Как сертифицируется защита API в России?
Отдельного профиля защиты ФСТЭК для класса «API Security» в России не существует — все найденные продукты сертифицированы как межсетевые экраны уровня веб-приложений (WAF) по требованиям к МЭ и профилю защиты МЭ (Г четвёртого класса). Заявленная защита API в таком сертификате отдельно не выделяется и не проверяется как самостоятельная функция. Актуальный статус сертификата любого продукта стоит проверять в Госреестре сертифицированных СЗИ ФСТЭК, а факт включения в реестр отечественного ПО — на reestr.digital.gov.ru. Смежная функциональность защиты трафика также встроена в российские NGFW.