L'OWASP API Security Top 10
L'OWASP (Open Worldwide Application Security Project) est une fondation qui publie des références en sécurité applicative. Son API Security Top 10 recense les risques les plus fréquents dans les API. La dernière édition date de 2023.
La plupart de ces failles ne demandent aucune compétence technique avancée pour être exploitées : juste curl et un peu de curiosité. Comme pendant la chasse au trésor.
| # | Risque | Au bar, ça donne… | Se protéger |
|---|---|---|---|
| API1 | Broken Object Level Authorization (BOLA, aussi appelé IDOR) | Changer l'id dans /orders/42 et lire la commande d'un autre client | Vérifier à chaque requête que l'objet appartient à l'utilisateur |
| API2 | Broken Authentication | Une route de connexion sans limite d'essais, des tokens qui n'expirent jamais | Bibliothèques éprouvées, expiration, rate limiting sur l'authentification |
| API3 | Broken Object Property Level Authorization (BOPLA) | Envoyer {"role": "bartender"} dans un PATCH /me et devenir barman | N'accepter et ne renvoyer que les champs prévus (schémas stricts) |
| API4 | Unrestricted Resource Consumption | ?per_page=1000000, ou 10 000 commandes par seconde | Limites de pagination, de taille de body, rate limiting |
| API5 | Broken Function Level Authorization | Un client qui appelle /admin/scoreboard et obtient une réponse | Contrôler le rôle sur chaque route sensible, refuser par défaut |
| API6 | Unrestricted Access to Sensitive Business Flows | Un bot qui commande tous les 404 Spritz dès leur retour en stock pour les revendre | Détection des comportements automatisés, limites métier |
| API7 | Server Side Request Forgery (SSRF) | Une route « importer la photo du cocktail depuis une URL » à qui l'on donne http://localhost:8080/admin | Liste blanche de domaines, interdire les adresses internes |
| API8 | Security Misconfiguration | Les stack traces en production, CORS ouvert à tous, HTTP sans TLS | Configuration revue, erreurs neutres, HTTPS partout |
| API9 | Improper Inventory Management | L'API v0 du stagiaire de 2009, oubliée mais toujours en ligne | Inventaire des versions et des environnements, décommissionnement |
| API10 | Unsafe Consumption of APIs | Faire aveuglément confiance aux données renvoyées par l'API du fournisseur de citrons | Valider aussi ce qu'on reçoit des API tierces |
Les trois à retenir
Si vous ne deviez en retenir que trois, ce sont celles qui concernent l'autorisation : API1, API3 et API5. Elles ne sont détectées ni par les scanners automatiques, ni par les tests qui « vérifient que ça marche ». Il faut se demander, pour chaque route : et si c'était quelqu'un d'autre qui appelait ?
Le réflexe à prendre en écrivant une route : « Qui a le droit d'appeler cette route ? Sur quels objets ? Avec quels champs ? »
Référence complète : OWASP API Security Top 10 – 2023.