Partie 1
Pourquoi sécuriser une API : les risques
Les API permettent à des systèmes de communiquer : applications mobiles, sites web, objets connectés. Elles sont donc des cibles privilégiées. Conséquences d'une faille, selon le cours :
| Conséquence | Exemple |
|---|---|
| Exposition de données sensibles | données personnelles, financières, identifiants |
| Prise de contrôle de l'application | vol ou destruction de données |
| Perturbation du service | DDoS : API inutilisable, perte de disponibilité |
| Atteinte à la réputation | violation de données |
Cinq risques associés aux API
- Vol de données sensibles (mots de passe, infos personnelles, données financières).
- Exécution de commandes non autorisées : modification de données ou de systèmes.
- Attaques par injection : par exemple injection SQL, qui peut compromettre la base et exfiltrer des informations.
- Déni de service (DoS / DDoS) : saturer le serveur de requêtes malveillantes.
- Manque de contrôle d'accès : des utilisateurs non autorisés accèdent à des données ou fonctionnalités sensibles.
Vérifie que tu as compris
Un attaquant envoie des millions de requêtes pour rendre l'API indisponible. Quel risque est illustré ?
Les bonnes pratiques du cours, d'un coup d'œil
- Authentification et autorisation (JWT, clés d'API, MFA)
- Contrôle des accès (RBAC, ACL)
- Chiffrement des communications (HTTPS, données au repos)
- Validation des entrées et prévention des injections
- Limitation du taux de requêtes (rate limiting)
- Surveillance et audit
Chacune répond à un ou plusieurs risques ci-dessus ; les leçons suivantes les détaillent. S'y ajoute le CORS (leçon 5).
Vérifie que tu as compris
Quelle bonne pratique répond directement au risque « manque de contrôle d'accès » ?