Sécurité des API : le nouveau champ de bataille.

Un grand hôtel a une entrée principale magnifique : hall de marbre, portier, réceptionniste qui vérifie chaque arrivant. C'est là que tout le monde regarde. Mais derrière le bâtiment court un réseau de couloirs de service, de monte-charges, de portes de livraison par où transitent le linge, les repas, les fournisseurs. Ces accès existent parce que l'hôtel ne pourrait pas fonctionner sans eux - et c'est précisément par là que passe qui veut entrer sans se faire remarquer. Les attaquants ont cessé de faire la queue devant le hall de marbre. Ils cherchent la porte de service qu'on a oublié de fermer.

Sur le web, ce hall de marbre, c'est l'interface que vous voyez à l'écran. Les couloirs de service, ce sont les API : ces canaux par lesquels applications, mobiles et partenaires échangent des données en coulisses. Elles sont devenues le socle du numérique moderne - et, du même coup, la première porte d'entrée des attaquants. Les fuites françaises récentes le confirment : France Titres (11,7 millions de comptes) comme la plateforme Betrail (2,8 millions de profils) ont été compromises non par la grande porte, mais par leurs API.

Pourquoi les API sont devenues la cible privilégiée

Trois raisons expliquent ce déplacement du risque, et toutes tiennent dans la métaphore des couloirs de service :

• Elles exposent directement données et fonctions, sans la couche visuelle d'une interface web qui, souvent, masquait la complexité.
• Elles se multiplient : microservices, applications mobiles, intégrations partenaires… chaque API est un nouveau point d'entrée à sécuriser.
• Elles sont moins surveillées que les interfaces classiques, et parfois oubliées (API « fantômes » laissées en ligne après un projet).

Les failles les plus fréquentes

L'OWASP maintient un top 10 spécifique aux API. Les récurrentes :

• Défaut d'autorisation au niveau objet (IDOR) : accéder aux données d'un autre en changeant un identifiant. Nous y consacrons un article dédié.
• Authentification défaillante : jetons mal protégés, absence de limitation des tentatives.
• Exposition excessive de données : l'API renvoie plus d'informations que nécessaire, à charge du client de filtrer.
• Absence de limitation de débit : rien n'empêche un attaquant d'aspirer des millions d'enregistrements.
• API fantômes ou obsolètes : exposées sans que personne ne les surveille.

Sécuriser ses API : les bonnes pratiques

• Inventorier toutes les API exposées, y compris les anciennes et celles des prestataires.
• Contrôler l'autorisation objet par objet, côté serveur, systématiquement.
• Limiter le débit et détecter les usages anormaux (énumération massive).
• Minimiser les données renvoyées : ne transmettre que le strict nécessaire.
• Journaliser et surveiller les appels, via une passerelle d'API et un SOC.
• Tester régulièrement par des pentests d'API, avant et après mise en production.

En conclusion

Les API concentrent aujourd'hui la valeur… et le risque. Reprenons l'image de l'hôtel : on ne sécurise pas un bâtiment en polissant la porte d'entrée pendant que la porte de service bat au vent. Il faut d'abord savoir combien de portes existent - y compris celles qu'un projet oublié a laissées entrebâillées - puis appliquer avec rigueur autorisation, limitation et surveillance sur chacune. C'est un chantier transverse, à la croisée du développement, de l'exploitation et de la sécurité : exactement le type de sujet où un regard offensif, celui de quelqu'un qui pense en attaquant, fait toute la différence.

Sources

• OWASP API Security Top 10
• IT for Business - Mieux sécuriser les API