L’inversion de l’API est la transformation numérique dont les entreprises ont besoin pour participer à l’économie des API et y être compétitives

Rajesh Narayanan

Motivation, défis et opportunités

Les interfaces de programmation d’applications (API), et par extension l’économie des API, deviennent rapidement des moteurs de la transformation numérique. Si la plupart des entreprises comprennent le fonctionnement d’une API, rares sont celles qui l’ont adoptée comme moyen d’accroître leur propre valeur commerciale. L’économie des API englobe l’ensemble des modèles économiques, des pratiques et des actifs qui stimuleront l’économie numérique à mesure que davantage d’entreprises externaliseront leurs services par le biais d’API. En substance, l’économie des API permet à une entreprise d’exposer ses services et ses données de manière sécurisée, créant ainsi de la valeur pour son activité.

Toutes les entreprises détiennent des données et fournissent des services connexes qui ont une valeur intrinsèque, mais qui ne sont généralement accessibles qu’en interne. Toutefois, pour participer à cette économie des API et y être véritablement compétitive, une entreprise doit également envisager de s’ouvrir vers l’extérieur en inversant certaines de ces API. Dans le rapport « How APIs Create Growth by Inverting the Firm », Benzell et al. expliquent comment l’exposition d’API privées accroît la valeur d’une organisation. Nous avons étendu cette expression à « l’inversion de l’API », un processus par lequel une entreprise externalise une API privée en la rendant disponible en tant qu’API partenaire ou API publique.

Bref rappel sur les API

Les API permettent aux développeurs de créer des applications et des produits avec simplicité et agilité. Elles facilitent l’intégration rapide de logiciels provenant de différentes entités d’une entreprise ainsi que l’interaction avec des services fournis par l’intermédiaire d’API partenaires ou publiques.

Les API peuvent également permettre l’intégration de nouveaux services entre les entreprises en donnant accès aux données et en facilitant l’échange de fonctionnalités partagées. C’est précisément dans cet accès aux données que les API offrent les possibilités les plus intéressantes, tout en présentant les défis et les risques les plus importants. Les API permettent aux utilisateurs d’accéder de manière sécurisée aux données de différents services, sans avoir à passer par les mesures de sécurité propres à chaque fournisseur de services. Toutefois, une conception inadéquate des API peut conduire l’organisation à exposer involontairement des données, ce qui entraîne les nombreux défis auxquels le secteur est aujourd’hui confronté.

Selon le rapport State of the API 2022 de Postman, « l’intégration aux systèmes internes » était la principale raison pour laquelle les organisations ont décidé d’utiliser des API, celles-ci offrant aux entreprises le moyen le plus simple de participer à l’économie numérique. C’est un point important, car les outils d’intégration deviennent alors un critère essentiel lorsque les entreprises choisissent la technologie sur laquelle reposera leur stratégie API-first.

Motivations commerciales

L’exemple le plus emblématique de mise à disposition d’API privées auprès d’un écosystème plus large est Amazon Web Services (AWS). Amazon a vu l’occasion de permettre à ses clients d’utiliser sa propre infrastructure informatique en libre-service et à la demande. Cela n’avait rien de nouveau pour l’entreprise, qui disposait déjà de tous les outils de libre-service et d’automatisation destinés à ses développeurs internes. Cette occasion de stimuler sa croissance a conduit Amazon à donner naissance au cloud computing tel que nous le connaissons aujourd’hui. Alors que les sceptiques affirmaient que les entreprises n’adopteraient jamais le cloud, au cours des 15 années qui ont suivi son lancement, le cloud computing est devenu un secteur pesant environ 1 000 milliards de dollars, et la valorisation d’Amazon a été multipliée par plus de dix en une décennie, en grande partie grâce au succès d’AWS. Cela a favorisé la création d’un nouveau secteur d’activité.

Mais les entreprises n’ont pas encore pris toute la mesure du potentiel des API pour accroître leur valeur. Si plusieurs raisons peuvent les amener à négliger la perspective d’un meilleur rendement, la principale motivation est la cybersécurité. La protection des actifs d’une organisation étant la priorité absolue des services informatiques, la plupart des organisations mettent en place de lourdes « bonnes pratiques » et des processus qui limitent leur agilité et, en définitive, réduisent leurs bénéfices. Pourtant, la sécurité devrait avoir pour objectif de libérer la valeur latente d’une entreprise, et non de la brider.

Identifier les API adaptées à l’inversion

« L’inversion de l’API » ne consiste pas simplement, sur le plan technique, à la rendre accessible à des tiers extérieurs à l’organisation. La granularité de l’exposition d’une API (GRAPE) amène l’entreprise à se demander si une API peut être inversée en toute sécurité. Dans le cadre d’un « test GRAPE », une entreprise doit déterminer si elle expose involontairement des données susceptibles d’être considérées comme sensibles sur le plan concurrentiel, ou des données qui pourraient contrevenir aux exigences de gouvernance, de gestion des risques et de conformité (GRC), ainsi qu’évaluer la qualité de l’architecture de l’API du point de vue de la sécurité. En substance, les entreprises ne veulent laisser aucune « grappe » à cueillir.

Une fois qu’une API a passé cet audit, la décision de rendre les données accessibles via une API partenaire ou publique reste d’ordre commercial, et l’objectif de l’organisation informatique doit être de fournir à l’entreprise les outils nécessaires pour le faire de manière sûre et sécurisée. Nous devons permettre aux développeurs de créer davantage de valeur en adoptant le niveau de granularité le plus fin possible afin d’exposer différents services qui, en règle générale, seraient réservés à un usage interne. Ces API pourraient être testées auprès de clients externes et de partenaires « de confiance », mais ce processus est aujourd’hui si contraignant que la plupart des entreprises refusent de s’engager dans cette voie. La solution consiste, pour les équipes chargées de la gouvernance, des risques et de la conformité (GRC) ainsi que de la sécurité, à mettre en place des garde-fous qui empêchent tout incident indésirable tout en favorisant l’autonomie.

Défis — principalement techniques

Alors, quelle est la prochaine étape ? En supposant que la valeur commerciale de l’inversion d’une API soit bien comprise et que le « test du raisin » ait été concluant, il reste encore des défis techniques à relever.

• La sécurité guide toutes les décisions— La GRC et la sécurité sont bénéfiques, car les API ont aussi leur part d’ombre. Les pirates recherchent des API à exploiter dans le cadre de leurs attaques. Les acteurs malveillants sont motivés et tenaces : ils emploient de nombreuses techniques et improvisent constamment pour contourner les dispositifs de sécurité des API. Les entreprises qui ne disposent pas de bonnes pratiques de sécurité appropriées auront beaucoup de mal à rendre publiques leurs API privées.
  
  
• Découverte et audit des API—Débarrasser une entreprise des API perdues, orphelines ou non sécurisées est une tâche ardue. Les développeurs quittent leur équipe ou leur entreprise sans supprimer les services qu’ils développent et testent. Même les équipes logicielles les plus rigoureuses commettent des erreurs et laissent des services fonctionner bien au-delà des phases de développement, de test et de fin de vie. La documentation des API pose également problème lorsque les nouveaux développeurs ignorent tout le potentiel des données renvoyées. Là encore, cela nous ramène à la sécurité.
  
  
• Connectivité—Même si une entreprise trouve des raisons convaincantes de mettre ses API privées à la disposition de clients externes ou de partenaires, connecter une API située derrière trois couches de pare-feu au sein de l’entreprise est une tâche ardue. Les unités opérationnelles peuvent mettre plusieurs mois à valider et à justifier le retour sur investissement nécessaire pour concrétiser ce projet, mais il ne suffit pas de rendre publique une API interne : la connectivité est elle aussi un processus. Par conséquent, l’agilité en pâtit et les développeurs ne peuvent pas innover rapidement.

En définitive, nous devons comprendre qu’il est extrêmement difficile de faire preuve d’agilité opérationnelle dans un environnement non fiable. Les processus informatiques sont orientés, définis et dictés par différentes préoccupations en matière de sécurité. Ils ont une raison d’être et ne peuvent être contournés.

Opportunité — l’entreprise EST la plateforme

Dès lors qu’une entreprise commence à réfléchir à la manière d’être compétitive dans l’économie des API, la nécessité d’inverser ses API s’impose naturellement. L’étape logique suivante consiste à envisager l’ensemble de son activité comme une plateforme et à imaginer les moyens d’atteindre cet objectif.

Kristin R. Moyer, vice-présidente et analyste émérite chez Gartner, a déclaré : « L’économie des API permet de transformer une entreprise ou une organisation en plateforme. Les plateformes démultiplient la création de valeur, car elles permettent aux écosystèmes commerciaux internes et externes à l’entreprise de mettre en relation les utilisateurs et de faciliter la création et/ou l’échange de biens, de services et de monnaie sociale, afin que tous les participants puissent en tirer de la valeur. » (Mulesoft)

Accompagner une entreprise dans cette démarche n’est pas sans difficultés, et c’est là que les fournisseurs partagent la responsabilité avec les services informatiques. L’entreprise doit déterminer quels aspects de ses ressources internes peuvent bénéficier à une communauté plus large, ou sont susceptibles de le faire, et ainsi accroître leur valeur. L’écosystème des fournisseurs doit proposer des outils et des technologies qui aident les entreprises à inverser leurs API en toute sécurité et à libérer la valeur de l’entreprise en tant que plateforme.

À propos de l’auteur

Rajesh Narayanan

Autres articles de Rajesh Narayanan