Derrière chaque application web ou mobile, des API échangent des données en coulisses. Elles sont devenues le socle du numérique moderne - et, du même coup, la première porte d'entrée des attaquants. Les fuites françaises récentes le confirment : France Titres (11,7 millions de comptes) comme la plateforme Betrail (2,8 millions de profils) ont été compromises via leurs API.
Pourquoi les API sont devenues la cible privilégiée
Trois raisons expliquent ce déplacement du risque :
- Elles exposent directement données et fonctions, sans la couche visuelle d'une interface web qui, souvent, masquait la complexité.
- Elles se multiplient : microservices, applications mobiles, intégrations partenaires… chaque API est un nouveau point d'entrée à sécuriser.
- Elles sont moins surveillées que les interfaces classiques, et parfois oubliées (API « fantômes » laissées en ligne après un projet).
Les failles les plus fréquentes
L'OWASP maintient un top 10 spécifique aux API. Les récurrentes :
- Défaut d'autorisation au niveau objet (IDOR) : accéder aux données d'un autre en changeant un identifiant. Nous y consacrons un article dédié.
- Authentification défaillante : jetons mal protégés, absence de limitation des tentatives.
- Exposition excessive de données : l'API renvoie plus d'informations que nécessaire, à charge du client de filtrer.
- Absence de limitation de débit : rien n'empêche un attaquant d'aspirer des millions d'enregistrements.
- API fantômes ou obsolètes : exposées sans que personne ne les surveille.
La première faille est souvent une API oubliée : une version de test laissée accessible, un endpoint hérité d'un ancien projet. On ne protège que ce que l'on a inventorié. Cartographier ses API est le point de départ.
Sécuriser ses API : les bonnes pratiques
- Inventorier toutes les API exposées, y compris les anciennes et celles des prestataires.
- Contrôler l'autorisation objet par objet, côté serveur, systématiquement.
- Limiter le débit et détecter les usages anormaux (énumération massive).
- Minimiser les données renvoyées : ne transmettre que le strict nécessaire.
- Journaliser et surveiller les appels, via une passerelle d'API et un SOC.
- Tester régulièrement par des pentests d'API, avant et après mise en production.
En résumé
Les API concentrent aujourd'hui la valeur… et le risque. Les sécuriser suppose d'abord de les connaître, puis d'appliquer avec rigueur autorisation, limitation et surveillance. C'est un chantier transverse, à la croisée du développement, de l'exploitation et de la sécurité - exactement le type de sujet où un regard offensif fait la différence.
Kenawek cartographie vos API, teste leur robustesse et vous aide à corriger les failles avant qu'elles ne soient exploitées. Parlons-en.