Dans l’écosystème actuel axé sur le cloud, les développeurs de logiciels déploient des API en nombre exponentiel. Selon le rapport 2024 de F5 sur l’état de la stratégie applicative (SOAS), plus d’un tiers des organisations gèrent désormais autant d’API que d’applications, certaines grandes entreprises supervisant jusqu’à 10 000 API.1 Alors que les organisations poursuivent la modernisation de leurs portefeuilles d’applications, le nombre d’API utilisées devrait dépasser le milliard d’ici 2031.2
Pourquoi les API se multiplient-elles si rapidement ?
Les API sont devenues indispensables aux applications modernes, car elles améliorent l’efficacité et l’interopérabilité. Elles permettent également à différents systèmes logiciels de communiquer de manière fluide, donnant ainsi aux équipes les moyens d’intégrer divers services et de rationaliser les processus.
L’essor de l’IA accélère la croissance des API, car l’IA s’appuie fortement sur celles-ci pour des fonctionnalités telles que le traitement des données, l’apprentissage automatique et l’automatisation. À mesure que l’adoption de l’IA progresse, le besoin en API augmente lui aussi.
Cependant, cette expansion rapide s’accompagne d’importants défis en matière de sécurité. Le rapport SOAS de F5 révèle que 95 % des organisations utilisent des passerelles d’API1 ; toutefois, cette pratique ne suffit pas à elle seule. Aujourd’hui, la sécurité des API est confrontée à deux enjeux majeurs : la découverte et l’approche « shift left », qui consiste à intégrer la sécurité plus tôt dans le processus de développement.
L’état de la sécurité des API et ses lacunes
Les mesures de protection des API peinent actuellement à suivre l’essor de leur utilisation. Si les passerelles API offrent un certain niveau de contrôle, elles ne répondent pas au besoin fondamental de recenser les API et de mettre en place des stratégies de sécurité complètes. Gartner prévoit que, d’ici 2025, la moitié des API ne seront pas gérées, ce qui présente des risques majeurs.3 Ces API fantômes peuvent exposer les organisations à des accès non autorisés, à des violations de données et à d’autres menaces, car elles échappent à la visibilité et au contrôle des équipes de sécurité. Elles présentent des vulnérabilités que les attaquants exploitent pour accéder sans autorisation à des données sensibles. La première étape pour faire face à cette menace consiste à détecter les API fantômes dans l’environnement de l’organisation.
Pour découvrir les API fantômes et gérer les complexités multicloud associées, les équipes peuvent commencer par examiner leur espace de domaines exposé à l’aide d’outils conçus pour la découverte d’API. Le recensement de tous les points de terminaison au sein du domaine d’une entreprise permet de cartographier son environnement d’API. Toutefois, la difficulté s’accroît dans les environnements multicloud, où les API sont réparties sur différentes plateformes appliquant des protocoles de sécurité et des exigences de gouvernance distincts. Cette complexité nécessite une approche stratégique de la gestion et de la sécurité des API.
Alors que les développeurs ajoutent régulièrement de nouvelles API, ils peuvent mettre en œuvre des solutions telles que la gestion des API Apigee de Google Cloud et F5 Distributed Cloud API Security, qui assurent une détection et une surveillance continues, leur permettant ainsi d’intégrer des mesures de sécurité dès le début du cycle de développement et d’améliorer la gouvernance des API.
Décaler la sécurité des API vers l’amont
Selon Gartner, d’ici 2026, 40 % des organisations choisiront un fournisseur de solution WAAP en fonction de ses fonctionnalités avancées de protection des API et de sécurité des applications web. Ce chiffre était inférieur à 15 % en 2022.4
Bien que cette nouvelle soit encourageante, davantage d’organisations peuvent intégrer les pratiques de sécurité à leurs pipelines CI/CD en adoptant une approche « shift left », afin de garantir la sécurité des API dès le départ. Cela implique une documentation complète des API, des contrôles de sécurité automatisés et une formation continue des équipes de développement et de sécurité.
Apaiser les tensions entre les équipes de développement et de sécurité
Historiquement, des tensions ont existé entre les développeurs axés sur un déploiement rapide et les équipes de sécurité privilégiant la sûreté. Pour les apaiser, il est essentiel de promouvoir une culture de responsabilité partagée en matière de sécurité. Encourager la collaboration et la compréhension mutuelle peut contribuer à harmoniser les objectifs et à rationaliser les processus.
Sécuriser l’ensemble du cycle de vie des API
Une approche globale implique une surveillance continue, des mises à jour régulières, une détection proactive des menaces, la mise en œuvre de mécanismes robustes d’authentification et d’autorisation, ainsi que l’adoption d’outils de sécurité avancés s’appuyant sur l’IA pour détecter et atténuer les menaces.
F5 et Google Cloud vous aident à adopter l’approche « shift left »
La première étape pour améliorer la sécurité des API consiste à dresser un inventaire exhaustif de toutes les API, à identifier les points de terminaison non gérés ou obsolètes, et à documenter leurs fonctionnalités et leurs mesures de sécurité. Les entreprises doivent sécuriser en priorité les API en fonction de leur niveau de risque et de leur impact potentiel. Des solutions complémentaires telles que F5 Distributed Cloud API Security et Apigee contribuent à créer un cadre de sécurité complet afin de protéger les API dans tous les environnements, offrant ainsi aux développeurs une plus grande tranquillité d’esprit dans un monde toujours plus interconnecté.
Ainsi, si la croissance des API offre des opportunités aux organisations, les équipes doivent néanmoins être conscientes des risques de sécurité. Les organisations peuvent gérer leurs API plus efficacement en intégrant la sécurité en amont, en adoptant une démarche de découverte continue et en favorisant la collaboration entre les équipes de développement et de sécurité.
Pour en savoir plus sur ce que nos spécialistes F5 et Google Cloud ont à dire sur la sécurité des API, regardez à la demande le webinaire « Shift Left : transformez la sécurité de vos API avec F5 et Google Cloud ». Vous pouvez également consulter Google Cloud Platform (GCP) pour découvrir notre partenariat plus en détail.
Sources
1. F5, Rapport 2024 sur l’état de la stratégie applicative, 2024
2. F5, La prolifération continue des API, nov. 2021
3. Gartner, Prévisions 2022 : les API exigent une sécurité et une gestion améliorées, déc. 2021
4. Gartner, Guide du marché de la protection des applications web et des API dans le cloud, nov. 2023
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.