Page d'accueil d'OpenText.
Thèmes techniques

Qu'est-ce que la sécurité des API ?

Illustration des éléments informatiques avec un point d'interrogation en point de mire

Présentation

Les API (interfaces de programmation d'applications) sont un élément clé des stratégies de transformation numérique, et la sécurisation de ces API est un défi majeur. Les API constituent une surface d'attaque en croissance rapide qui n'est pas largement comprise et qui peut être négligée par les développeurs et les responsables de la sécurité des applications.

Sécurité de l'API

C'est ce que dit le projet de sécurité API de l'OWASP: "Les API sont un élément essentiel des applications mobiles, SaaS et web modernes et peuvent se trouver dans les applications internes, en contact avec les clients et les partenaires. Par nature, les API exposent la logique de l'application et des données sensibles telles que les informations d'identification personnelle (PII) et, pour cette raison, sont de plus en plus souvent la cible d'attaquants. Sans API sécurisées, l'innovation rapide serait impossible".

En quoi les applications basées sur les API sont-elles différentes ?

Encore une fois, l'OWASP :

  • Le serveur est davantage utilisé comme un proxy pour les données.
  • Le composant de rendu est le client, pas le serveur.
  • Les clients consomment des données brutes.
  • Les API exposent la mise en œuvre sous-jacente de l'application.
  • L'état de l'utilisateur est généralement maintenu et contrôlé par le client.
  • D'autres paramètres sont envoyés dans chaque requête HTTP (ID d'objet, filtres).

En quoi la sécurité des API diffère-t-elle de la sécurité générale des applications ?

La sécurité des API se concentre sur les stratégies visant à atténuer les risques de sécurité propres aux API. Les vulnérabilités traditionnelles sont moins fréquentes dans les applications basées sur des API :

  • SQLi - Utilisation croissante des ORM.
  • CSRF - En-têtes d'autorisation au lieu de cookies.
  • Manipulation des chemins - Stockage dans le nuage.
  • Questions classiques de sécurité informatique - SaaS.

Pourquoi la sécurité des API est-elle importante ?

La sécurité des API est importante car les entreprises utilisent les API pour connecter des services et transférer des données, de sorte qu'une API piratée peut entraîner une violation des données.

L'utilisation de l'API continue d'augmenter

En décembre 2021, Cloudflare a indiqué que les appels à l'API représentaient 54% du total des demandes et ont augmenté de 21% entre février et décembre 2021. Les attaquants l'ont remarqué et se concentrent de plus en plus sur les API.

Les tests de sécurité des API font partie des capacités de base du Gartner MQ for Application Security Testing.

Les API sont devenues un élément essentiel des applications modernes (par exemple, les applications mobiles ou à page unique), mais les outils AST traditionnels peuvent ne pas les tester entièrement, ce qui nécessite des outils et des capacités spécialisés. La capacité de découvrir des API dans des environnements de développement et de production et de tester le code source des API, ainsi que la capacité d'ingérer du trafic enregistré ou des définitions d'API pour soutenir le test d'une API en cours d'exécution, sont des fonctions typiques.

Quel est le top 10 de l'OWASP en matière de sécurité des API ?

L'OWASP a récemment annoncé la publication de la version candidate du Top 10 de la sécurité des API. En savoir plus sur le projet de sécurité API de l'OWASP. Voici le top 10 :

  • API1 - Autorisation au niveau de l'objet non respectée
  • API2 - Authentification des utilisateurs non conforme
  • API3 - Exposition excessive aux données
  • API4 - Manque de ressources & limitation des taux
  • API5 - Autorisation de niveau de fonction rompue
  • API6 - Assignation de masse
  • API7 - Mauvaise configuration de la sécurité
  • API8 - Injection
  • API9 - Gestion inadéquate des actifs
  • API10 - Journalisation insuffisante & monitoring

Fortify contribue à la sécurité des API

Sécurité des API avec Fortify :

  • Couverture de la surface d'attaque - Découvrez automatiquement de nouveaux points d'extrémité d'API et des points d'extrémité fantômes pendant les tests et identifiez l'étendue des points d'extrémité avec OpenAPI, Swagger, Odata ou les schémas WSDL.
  • Authentification de l'API - L'authentification de l'API est variée et complexe. Fortify prend en charge pratiquement tous les types de jetons et d'implémentations.
  • Détection des vulnérabilités - Couverture toujours plus large des vulnérabilités spécifiques aux API dans des domaines tels que les jetons de porteur ou l'introspection GraphQL.
  • Automatisation de l'analyse - Développez les tests d'API grâce à une orchestration de niveau professionnel fournie via SaaS, hébergée ou sur site.

Sécurité de l'API

Commencez dès aujourd'hui


En savoir plus

Produits associés

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez en toute confiance

OpenText™ Fortify On Demand

Bénéficiez de tests de sécurité, d'une gestion des failles, ainsi que d'une expertise et d'une assistance sur mesure.

OpenText™ Fortify Static Code Analyzer (analyseur de code statique)

Détectez et résolvez les problèmes de sécurité de manière proactive, en bénéficiant des résultats les plus précis du secteur.

OpenText™ Fortify WebInspect

Identifiez les vulnérabilités des applications et services web déployés.

OpenText™ Access Manager with Managed Services

Activez l'authentification unique et le contrôle d'accès sur toutes les plateformes

Voir tous les produits apparentés

Comment pouvons-nous vous aider ?

Notes de bas de page