Liste de contrôle pour la sécurité des API : Meilleures pratiques, tests et NIST

Les API sont exposées aux exploits de vulnérabilités, aux abus de menaces automatisées, aux dénis de service, aux mauvaises configurations et aux attaques contournant les contrôles d’authentification et d’autorisation. Vous devez absolument renforcer la sécurité des API car elles dévoilent une logique métier vitale et des informations sensibles. Protégez les données des utilisateurs, les identifiants de connexion et les transactions financières contre tout accès non autorisé, manipulation ou fuite, tout en garantissant l’intégrité et la disponibilité des API.

Cet article de blog offre un aperçu rapide des principales menaces de sécurité touchant les API, ainsi qu’une liste détaillant les stratégies clés et meilleures pratiques pour les protéger dans des environnements multicloud, notamment le contrôle d’accès, la validation des entrées, la gestion des sorties, les tests et la surveillance des API. Vous y trouverez également nos recommandations sur les normes essentielles en matière de sécurité des API, ainsi que les outils à utiliser pour sécuriser efficacement vos API précieuses.

Le contrôle d'accès organise et applique qui peut accéder à quelles ressources et avec quels droits. Ce processus englobe l’authentification et l’autorisation. L’authentification vérifie l’identité de l’utilisateur, tandis que l’autorisation définit son niveau d’accès après vérification.

Voici les principales recommandations pour une checklist de contrôle d’accès afin de renforcer la sécurité des API :

• N’utilisez pas l’authentification basique pour la gestion des accès. L’authentification basique repose généralement sur un simple identifiant et mot de passe, facilement compromis par un attaquant déterminé. Privilégiez des méthodes de contrôle d’accès plus robustes comme OAuth ou les JSON Web Tokens (JWT).
• Appliquez les bonnes pratiques pour les jetons API. Les jetons API permettent souvent d’accéder aux points de terminaison et aux services, et une mauvaise gestion peut compromettre des systèmes sensibles par un accès non autorisé ou un usage abusif. Réduisez au minimum la portée et les droits des jetons, fixez toujours une date d’expiration pour les jetons d'accès, et stockez et transmettez-les de façon sécurisée.
• Vérifiez si l’authentification et l’autorisation fonctionnent correctement. Identifiez et corrigez les faiblesses de sécurité courantes liées à la façon dont vous authentifiez les utilisateurs et gérez leurs droits d’accès. Parmi ces menaces figure l'authentification défaillante, qui permet aux attaquants de se faire passer pour des utilisateurs légitimes en compromettant mots de passe, clés, jetons de session ou informations de compte utilisateur. La défaillance de l'autorisation au niveau des propriétés d’objet (BOLA) survient lorsqu’une application ne contrôle pas correctement l’accès aux objets ou données, laissant un attaquant manipuler ou contourner ces contrôles et accéder sans autorisation à certains éléments de l’application. La défaillance de l'autorisation au niveau des fonctions apparaît lorsqu’une API ne contrôle pas correctement l’accès aux fonctions ou opérations, ce qui permet à des attaquants d’accéder à des fonctionnalités non autorisées ou de manipuler des fonctions légitimes.
• Sécurisez les entrepôts d'identité. Protégez les systèmes qui conservent des données sensibles liées à l'identité, comme les clés API, les journaux d'authentification et les identifiants utilisateurs. Cela signifie chiffrer les données au repos, limiter les accès et appliquer des contrôles d’accès robustes. En sécurisant ces entrepôts, vous réduisez le risque que des attaquants accèdent de façon non autorisée à des informations critiques d’authentification et d’autorisation.
• Utilisez une passerelle API. Gérez le contrôle d’accès de toutes les API depuis un point unique et centralisé. Cela vous permet d’appliquer des politiques uniformes, telles que l’authentification, les limitations de débit et les règles d’autorisation. En déployant ces contrôles via la passerelle, vous réduisez les risques de mauvaise configuration et garantissez une protection homogène pour toutes les API.
• Appliquez le chiffrement à toutes les données sensibles. Le chiffrement protège les données transitant par les API contre tout accès non autorisé, qu'elles soient en mouvement ou stockées. Même si un attaquant intercepte le trafic réseau ou accède aux systèmes de stockage, il ne peut lire les données chiffrées sans les clés de déchiffrement adéquates. Vous garantissez ainsi la confidentialité et l’intégrité des données, tout en facilitant le respect des exigences réglementaires.
• Appliquez une limitation de débit. Limiter la fréquence des requêtes API par client dans un délai précis empêche les attaques par déni de service distribué (DDoS), en bloquant les tentatives dʼinonder l’API, et les attaques de credential stuffing, en ralentissant ou arrêtant les tentatives répétées de connexion.

Vous devez tester la sécurité des API en continu, pas seulement lors du déploiement initial, car les API évoluent fréquemment avec des mises à jour ou de nouvelles fonctionnalités. Par ailleurs, le paysage des menaces se transforme aussi, avec des attaquants qui développent sans cesse de nouvelles méthodes.

Voici les recommandations clés pour établir une liste de contrôle des tests de sécurité des API :

• Réalisez des tests fonctionnels. Vérifiez que les fonctions essentielles de l'API répondent aux attentes et restent stables lorsque vous ajoutez des fonctionnalités ou appliquez des correctifs.
• Testez la performance. Soumettez l'API à un test de charge pour mesurer ses limites et évaluer son temps de récupération après un incident.
• Réalisez des scans de vulnérabilité et des tests d’intrusion. Utilisez un scanner d’API automatisé pour analyser le code source et détecter les erreurs d’exécution, puis effectuez régulièrement des tests d’intrusion pour repérer les vulnérabilités de l’API face à des attaques plus sophistiquées, nouvelles ou inédites.

La surveillance des API est cruciale car elle vous aide à détecter les menaces en temps réel et à définir une référence d’activité « normale », indispensable pour identifier les anomalies. En surveillant en continu, vous permettez à vos équipes de sécurité de détecter rapidement des comportements inhabituels, comme des pics de trafic, des tentatives de connexion échouées répétées ou un usage anormal des points d’extrémité — souvent des signes d’attaques.

Une liste de contrôle pour la surveillance des API doit comprendre les points suivants :

• Utilisez un outil de découverte d’API pour surveiller en continu et documenter les nouvelles API. Vous ne pouvez pas protéger ce que vous ne savez pas exister. Les développeurs peuvent déployer ou tester des API sans autorisation officielle, créant des points d’accès invisibles (« API fantômes ») que les équipes de sécurité peuvent négliger, exposant ainsi des cibles faciles aux attaquants. La découverte continue vous permet d’inventorier, d’évaluer, de sécuriser et de gérer correctement chaque API exposée.
• Maintenez un catalogue centralisé de toutes les API. Nous facilitons la surveillance des API avec une vue claire et organisée de tout l’écosystème, vous garantissant une meilleure visibilité, une gestion simplifiée et une réponse rapide aux incidents.
• Consignez et analysez le trafic API. Repérez les pics inattendus de volume de requêtes, qui peuvent signaler une attaque DDoS, et surveillez les demandes en provenance de régions géographiques inhabituelles pour les utilisateurs légitimes, afin de détecter toute tentative d'accès non autorisé. Une hausse des requêtes échouées peut révéler une activité de credential stuffing ou des clients mal configurés sollicitant l'API avec des données invalides.

L’Open Worldwide Application Security Project (OWASP) et le National Institute of Standards and Technology (NIST) diffusent tous deux les meilleures pratiques en cybersécurité.

• OWASP se concentre spécifiquement sur la sécurité applicative et publie des listes des risques les plus fréquents pour les applications web et les grands modèles de langage. Le Top 10 des risques de sécurité API OWASP vous guide concrètement dans la conception sécurisée d’API et la réalisation de tests de sécurité.
• NIST s’intéresse largement à la cybersécurité et publie le NIST Cybersecurity Framework (CSF). Le NIST CSF vous aide à aligner la sécurité de votre API sur une stratégie plus globale, organisée autour de six piliers : identifier, protéger, détecter, réagir, récupérer et piloter.

Avec la généralisation des designs API-first et la multiplication des API, une solution complète de protection des applications web et des API (WAAP) reste votre meilleure défense contre les parcs d’API. Un WAAP assure une sécurité globale en regroupant, dans une seule plateforme, un pare-feu web (WAF), des services de découverte et de protection des API, l’atténuation des attaques DDoS et la gestion des bots.

Les avantages clés du WAAP sont :

• Observabilité renforcée. Une visibilité complète du trafic des applications web et des API grâce à la journalisation, aux métriques et à l’analyse en temps réel vous permet d’identifier les anomalies, de résoudre les problèmes plus rapidement et d’extraire des informations exploitables sur l'activité des utilisateurs et les nouvelles menaces.
• Protection intégrée et complète. WAAP combine une découverte et une visibilité solides des API avec des fonctions essentielles pour contrôler et bloquer les menaces, incluant des contrôles précis pour les listes d’autorisation et d’interdiction, la limitation des débits, le filtrage géo-IP et la création de règles personnalisées. En outre, WAAP intègre une protection contre les attaques DoS de couche 7, des fonctionnalités de prévention des pertes de données pour détecter et masquer les données sensibles, la gestion des bots et un pare-feu applicatif (WAF), le tout regroupé dans une seule solution. Cette approche globale vous assure une visibilité et une sécurité totales des API, vous permettant de piloter efficacement leur gouvernance et d’en garantir des performances fiables.
• Gestion centralisée des politiques. WAAP vous permet de gérer les politiques de sécurité de toutes vos applications web et API depuis un seul point de contrôle, quel que soit leur lieu d’hébergement ou leur architecture sous-jacente. Nous appliquons ainsi vos règles de manière uniforme, réduisons les erreurs de configuration et facilitons vos opérations de sécurité dans des environnements variés.
• Gestion et maintenance des politiques simplifiées. Nous automatisons et optimisons la mise en œuvre et la mise à jour des politiques pour que vous puissiez les appliquer, ajuster et adapter facilement face à l’évolution des menaces et du comportement des applications, sur toutes vos applications et API selon vos besoins. Vous réduisez ainsi les interventions manuelles, accélérez vos réponses aux nouvelles vulnérabilités, tout en garantissant une application cohérente sur l’ensemble de vos systèmes.
• Pistes d'audit limpides. Nous tenons des journaux détaillés et des pistes d'audit des accès, des modifications de politiques et des événements de sécurité, indispensables pour prouver votre conformité aux normes réglementaires et industrielles sur toutes les sources de menace et composants d’une application, y compris les API, l’infrastructure et les données.

F5 propose la sécurité des API dans le cadre de ses solutions de protection des applications Web et des API (WAAP), qui sécurisent les API au sein d’environnements hybrides et multicloud complexes, tout en simplifiant les opérations et en améliorant l’efficacité. Les solutions WAAP de F5 apportent une protection complète aux API tout au long de leur cycle de vie, depuis la conception et les tests jusqu’à leur déploiement, leur exploitation et leur supervision.

Les solutions WAAP de F5 réduisent les risques et renforcent votre résilience numérique en protégeant en continu la logique métier essentielle qui soutient vos applications web et vos API. Nous garantissons une visibilité universelle des API en les identifiant automatiquement, en surveillant sans relâche et en détectant les menaces, tout en protégeant leurs points d’accès grâce à des mécanismes essentiels de contrôle et d’application. Vous pouvez déployer les solutions WAAP de F5 dans tous les environnements : sur site, dans le cloud ou en mode as-a-service.