Les équipes de cybersécurité des entreprises se concentrent désormais sur la sécurité des API, et à juste titre. Dans l’économie numérique, les API constituent la porte d’entrée des entreprises, servant de point d’accès aux appareils IoT, aux applications web et mobiles et, de plus en plus, aux applications basées sur l’IA qui transforment nos méthodes de travail. Malheureusement, les API sont également une porte d’entrée pour les cybercriminels, dont beaucoup s’appuient sur des bots pour mener leurs attaques. Il est donc essentiel que les équipes de sécurité protègent les API et neutralisent les bots utilisés pour les attaquer.
La liste des dix principales vulnérabilités de sécurité des API de l’OWASP met clairement en évidence le rôle central des bots dans les attaques visant les API. Trois des dix principales vulnérabilités des API sont directement liées aux bots :
- Authentification défaillante: les bots contournent l’authentification au moyen d’attaques par force brute, par dictionnaire et par bourrage d’identifiants qui entraînent des prises de contrôle de comptes, des fraudes, des pertes financières et le mécontentement des clients.
- Consommation illimitée des ressources: les bots exploitent l’absence de limites en matière de consommation des ressources, épuisant ainsi la mémoire et la capacité de traitement des API. Lorsque les bots ciblent des API destinées à être utilisées par des applications interactives (applications web et mobiles utilisées par des humains), les conséquences sur les performances et les coûts peuvent être catastrophiques.
- Accès illimité aux processus métier sensibles: Un accès excessif à certains processus métier peut nuire à l’entreprise. Les revendeurs non autorisés peuvent épuiser les stocks de produits et les revendre à un prix nettement plus élevé. Les spammeurs peuvent exploiter un processus de publication de commentaires ou de contenus. Les attaquants peuvent utiliser un système de réservation pour réserver tous les créneaux horaires disponibles. Dans ces situations, des bots sont déployés pour exploiter ces processus métier.
Dans son livre Hacking APIs: Breaking Web Application Programming Interfaces, Corey J. Ball, expert reconnu en cybersécurité et en API, explique comment des outils automatisés de découverte d’API (OWASP ZAP, Gobuster, Kiterunner) et de fuzzing (Postman, Wfuzz et Burp Suite) peuvent être utilisés par des attaquants pour envoyer des milliers de requêtes aux API afin d’en déceler les vulnérabilités. Une solution de gestion des bots doit être mise en place pour détecter ces tentatives d’exploration et en réduire l’efficacité.
Les bots n’affectent pas toutes les API de la même manière. Les API sont généralement protégées par le TLS mutuel, de sorte que le risque de défaillance de l’authentification est faible et qu’une limitation du débit peut être appliquée à chaque client authentifié. Les API qui sont censées recevoir uniquement du trafic provenant d’applications web et mobiles interactives sont les plus vulnérables aux bots.
La lutte contre les bots est devenue de plus en plus difficile pour les API qui reçoivent du trafic généré par des utilisateurs humains. Les bibliothèques open source permettent d’échapper facilement à la détection par empreinte des en-têtes, tandis que les services permettant de contourner les CAPTCHA et de faire transiter les requêtes via des proxys sur des réseaux comprenant des dizaines de millions d’adresses IP résidentielles sont largement accessibles aux opérateurs de bots. Les anciennes techniques d’analyse des en-têtes, les listes de blocage d’adresses IP et les CAPTCHA ne sont plus efficaces. Par conséquent, les équipes chargées de la sécurité des applications qui cherchent à limiter l’activité des bots doivent s’appuyer sur une collecte approfondie des signaux côté client, à l’aide de JavaScript et de SDK mobiles, ainsi que sur des techniques sophistiquées de machine learning afin de distinguer les outils d’attaque et les comportements des bots.
À mesure que les applications d’IA se généralisent, il sera essentiel de sécuriser les API et ces points de terminaison contre les attaques automatisées. En réponse, l’OWASP a publié son classement des 10 principaux risques et mesures d’atténuation pour les LLM et les applications d’IA générative en 2025. Pour en savoir plus, consultez mon récent article, « Comment les bots attaquent les grands modèles de langage ».
Parmi les API de votre organisation, lesquelles sont vulnérables aux bots ? Quelle est la probabilité d’une attaque et quel en serait le coût ? Comment concevoir des contrôles de sécurité garantissant la protection nécessaire contre les bots ? Ce sont des questions pertinentes à aborder dans le cadre de la modélisation des menaces. Pour en savoir plus sur l’impact des bots sur les entreprises, consultez le livre blanc de F5 sur le sujet ou inscrivez-vous pour bénéficier d’une consultation gratuite
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.