Search Results

Objectif Le patron d'API-ritif veut recueillir l'avis de ses clients. Le contrat est déjà écrit (design-first !) : à vous de coder la ressource /v1/cocktails/{cocktail_id}/reviews, en FastAPI. Votre API sera corrigée automatiquement par une collection Bruno fo...

Persister les données avec SQLite Nos données en mémoire disparaissent à chaque redémarrage. SQLite stocke une base de données complète dans un simple fichier, sans serveur à installer. Idéal pour un prototype. Python inclut le module sqlite3, rien à installer...

Authentification ou autorisation ? Authentification : qui es-tu ? L'échec donne un 401 Unauthorized (mal nommé : il devrait s'appeler « Unauthenticated »). Autorisation : as-tu le droit ? L'échec donne un 403 Forbidden. Au bar : montrer sa carte de membre, c...

HTTPS : non négociable En HTTP, tout circule en clair : l'URL, les headers, le body. Sur le Wi-Fi de l'école, n'importe qui avec Wireshark peut lire votre clé d'API, votre token ou votre mot de passe. HTTPS, c'est HTTP dans un tunnel TLS, qui apporte : la con...

Une API sans limite finit toujours par recevoir trop de requêtes : un script en boucle infinie, un client trop enthousiaste, un concurrent qui aspire vos données, ou une attaque par déni de service. Le rate limiting limite le nombre de requêtes par client et p...

L'OWASP (Open Worldwide Application Security Project) est une fondation qui publie des références en sécurité applicative. Son API Security Top 10 recense les risques les plus fréquents dans les API. La dernière édition date de 2023. La plupart de ces failles...

Sur un site web, vous ne tapez jamais d'URL à la main : vous arrivez sur la page d'accueil et vous cliquez sur des liens. Le site peut réorganiser toutes ses adresses, vous ne vous en rendez pas compte. HATEOAS (Hypermedia As The Engine Of Application State) a...

REST dit qu'il faut des liens, mais pas comment les écrire. Plusieurs formats se sont imposés. Voici la même commande dans les deux plus répandus. HAL HAL (Hypertext Application Language, type application/hal+json) est le plus simple : on garde son JSON habit...

C'est là que HATEOAS devient vraiment utile : les liens ne décrivent pas seulement les ressources liées, mais aussi ce qu'on a le droit de faire maintenant. La vie d'une commande pending ──(30 s)──▶ preparing ──(2 min)──▶ ready ──▶ served │ └──▶ cancell...

Fielding le répète depuis 2008 : sans hypermédia, ce n'est pas REST. Pourtant, la grande majorité des API publiques s'arrêtent au niveau 2 de Richardson. Pourquoi ? Les raisons Les clients codent quand même les URL en dur La promesse « le serveur peut changer...