Page d'accueil d'OpenText.
Sujets techniques

Qu'est-ce que la sécurité des API ?

Illustration d'éléments informatiques mettant en évidence un point d'interrogation

Aperçu

Les API (interfaces de programmation d'applications) sont un élément clé des stratégies de transformation numérique, et leur sécurisation constitue un défi majeur. Les API constituent une surface d'attaque en pleine expansion, encore mal comprise et susceptible d'être négligée par les développeurs et les responsables de la sécurité des applications.

Sécurité des API

Voici ce qu'affirme le projet OWASP API Security: « Les API sont un élément essentiel des applications mobiles, SaaS et Web modernes et se retrouvent dans les applications destinées aux clients, aux partenaires et en interne. » De par leur nature, les API exposent la logique applicative et des données sensibles telles que les renseignements personnels identifiables (IPI) et sont, de ce fait, devenues une cible de plus en plus prisée par les attaquants. Sans API sécurisées, l'innovation rapide serait impossible.

En quoi les applications basées sur une API sont-elles différentes ?

Encore une fois, selon OWASP :

  • Le serveur est principalement utilisé comme intermédiaire pour les données.
  • Le composant de rendu est le client, pas le serveur.
  • Les clients consomment des données brutes.
  • Les API exposent l'implémentation sous-jacente de l'application.
  • L'état de l'utilisateur est généralement géré et surveillé par le client.
  • Plus de paramètres sont envoyés dans chaque requête HTTP (identificateurs d'objets, filtres).

En quoi la sécurité des API diffère-t-elle de la sécurité générale des applications ?

La sécurité des API se concentre sur les stratégies visant à atténuer les risques de sécurité propres aux API. Les vulnérabilités traditionnelles sont moins fréquentes dans les applications basées sur les API :

  • SQLi – Utilisation croissante des ORM.
  • CSRF – En-têtes d'autorisation au lieu des cookies.
  • Manipulations de chemins – Stockage dans le nuage.
  • Problèmes classiques de sécurité informatique - SaaS.

Pourquoi la sécurité des API est-elle importante ?

La sécurité des API est importante parce que les entreprises utilisent les API pour connecter des services et transférer des données ; une API piratée peut donc entraîner une fuite de données.

L'utilisation des API continue d'augmenter.

En décembre 2021, Cloudflare a indiqué que les appels API représentaient 54 % du total des requêtes et avaient augmenté de 21 % entre février et décembre 2021. Les attaquants l'ont remarqué et ont intensifié leurs efforts sur les API.

Les tests de sécurité des API font partie des capacités essentielles du Magic Quadrant de Gartner pour les tests de sécurité des applications.

Les API sont devenues un élément essentiel des applications modernes (par exemple, les applications monopages ou mobiles), mais les outils AST traditionnels peuvent ne pas les tester entièrement, ce qui conduit à la nécessité d'outils et de capacités spécialisés. La capacité de découvrir des API dans les environnements de développement et de production et de tester le code source des API, ainsi que la capacité d'ingérer le trafic enregistré ou les définitions d'API pour prendre en charge le test d'une API en cours d'exécution, sont des fonctions typiques.

Quels sont les 10 principaux critères de sécurité des API OWASP ?

OWASP a récemment annoncé la version candidate des 10 meilleures solutions de sécurité des API. Pour en savoir plus, consultez le projet OWASP API Security. Voici le top 10 :

  • API1 - Autorisation au niveau de l'objet défaillant
  • API2 - Authentification utilisateur défaillante
  • API3 - Exposition excessive aux données
  • API4 - Manque de ressources et limitation du débit
  • API5 - Autorisation fonctionnelle défaillante
  • API6 - Affectation en masse
  • API7 - Mauvaise configuration de sécurité
  • API8 - Injection
  • API9 - Gestion inadéquate des actifs
  • API10 - Journalisation et surveillance insuffisantes

Fortify contribue à la sécurité des API

Sécurité des API avec Fortify :

  • Couverture de la surface d'attaque – Découvrez automatiquement les nouveaux points de terminaison d'API et les points de terminaison fantômes lors des tests et identifiez l'étendue des points de terminaison avec des schémas OpenAPI, Swagger, Odata ou WSDL.
  • Authentification de l'API – L'authentification API est variée et complexe. Fortify prend en charge pratiquement tous les types de jetons porteurs et leurs implémentations.
  • Détection des vulnérabilités – Couverture toujours plus étendue des vulnérabilités spécifiques aux API affectant des domaines tels que les jetons porteurs ou l'introspection GraphQL.
  • Automatisation des analyses – Essais d'API à grande échelle grâce à une orchestration de niveau entreprise fournie via SaaS, hébergée ou sur site.

Sécurité des API

Commencez dès aujourd'hui


En savoir plus

Produits connexes

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez avec confiance

OpenText™ Fortify sur demande

Déverrouillez les tests de sécurité, la gestion des failles, ainsi que l'expertise et le soutien sur mesure.

Analyseur de code statique OpenText ™ Fortify

Identifiez et résolvez les problèmes de sécurité tôt avec les résultats les plus précis de l'industrie.

OpenText ™ Fortify WebInspect

Identifier les vulnérabilités des applications et services Web déployés

OpenText™ Access Manager with Managed Services[[ ## completed ## ]]

Activez l'authentification unique et le contrôle d'accès sur les différentes plateformes.

Voir tous les produits connexes

Comment pouvons-nous vous aider?

Notes de bas de page