Les principaux signaux d’alerte en matière de sécurité des API

Vous ne savez pas où se trouvent toutes vos API

• La prolifération des API est étonnamment généralisée. Selon le guide d’évaluation des solutions de sécurité des API de Datos, le nombre d’API utilisées dépassera les 2 milliards d’ici 2030, alors que les organisations en utilisent déjà plus de 20 000 en moyenne.
• Les points de terminaison d’API représentent un défi particulier. Selon le rapport 2024 sur l’état de la stratégie applicative de F5, « une API peut comporter des dizaines, voire des centaines de points de terminaison ». Pour compliquer encore les choses, une organisation peut ne pas maîtriser entièrement toutes les API qui communiquent avec ses systèmes.
• Le rapport 2023 de Postman sur l’état des API a identifié les obstacles suivants à l’utilisation des API :
  • Manque de documentation (52 %)
  • Difficulté à découvrir les API (32 %)

La surface d’attaque de votre organisation manque de clarté

• Le guide d’évaluation des solutions de sécurité des API de Datos explique le problème fondamental : « L’inventaire de la surface d’attaque des API est essentiel à leur sécurisation. Les RSSI ne peuvent pas protéger ce dont ils ignorent l’existence. La découverte des API est nécessaire pour identifier les API fantômes, orphelines, obsolètes ou dont la version n’est plus à jour. »
• Les API sont essentielles à toute entreprise moderne. Comme l’explique Venture Beat, « les API représentent 91 % de l’ensemble du trafic web. Elles s’inscrivent dans la tendance des architectures de microservices et répondent à la nécessité de s’adapter de manière dynamique à l’évolution rapide des conditions du marché. »
• Et parce qu’elles jouent un rôle clé, les API sont une cible privilégiée des cybercriminels. 90 % des cyberattaques sur le Web ciblent les points de terminaison d’API, et le nombre d’enregistrements compromis lors d’attaques provenant d’API a dépassé le milliard.

Votre infrastructure de sécurité est trop complexe

• Les applications et API actuelles sont déployées dans un environnement hybride et multicloud. Comme l’indique le Rapport 2024 sur l’état de la stratégie applicative, près de 90 % des organisations utilisent des modèles de déploiement hybrides, notamment le SaaS, le cloud public/IaaS, les infrastructures sur site (traditionnelles), les infrastructures sur site (cloud privé), la colocation et l’edge computing.
• D’après ce même rapport : le nombre d’organisations utilisant six modèles différents a augmenté de près de 20 % entre 2023 et 2024.
• 66 % des grandes entreprises (comptant plus de 10 000 employés) utilisent généralement entre 60 et 80 outils de sécurité — notamment en raison des outils spécialisés nécessaires pour répondre à des besoins spécifiques dans plusieurs environnements cloud.

Le maintien de votre posture de sécurité repose trop sur des processus manuels

• Avec autant d’API et de points de terminaison, les mises à jour manuelles de sécurité ne sont pas viables. L’automatisation de la sécurisation des API peut réduire considérablement le besoin de mises à jour manuelles, comme le montre cette étude de cas de McGraw Hill qui décrit les efforts déployés par l’entreprise pour simplifier la gestion de 18 millions de requêtes API mensuelles.
• État de la stratégie applicative : les personnes interrogées dans le cadre de cette enquête indiquent que l’application manuelle de correctifs et les mises à jour ne sont pas assez rapides pour faire face aux attaques zero-day. De nombreux décideurs estiment que le coût élevé des attaques réussies rend indispensable l’automatisation de la sécurité des applications et des API. Ainsi, le recours à l’automatisation des applications et des API est passé de 33 % à 43 % au cours de l’année écoulée. Le nombre de CVE publiées augmente rapidement, et les chercheurs de F5 Labs s’attendent à la publication de 500 nouvelles CVE au cours d’une semaine type en 2025.
• L’adoption croissante de l’IA générative a également des répercussions sur la sécurité des applications et des API ; le principal cas d’usage de l’IA générative dans le domaine de la sécurité consiste à ajuster automatiquement les politiques de sécurité et à générer des configurations de sécurité en fonction des menaces détectées.

Vous vous inquiétez de la sécurité des applications d’IA

• La sécurisation de l’IA générative repose avant tout sur de solides bases en matière de sécurité des applications et des API. C’est ce qu’explique succinctement Mete Atamel, Developer Advocate Cloud chez Google : « Quelle que soit votre utilisation de l’IA générative, au bout du compte, vous appelez un point de terminaison, que ce soit avec un SDK, une bibliothèque ou via une API REST. »
• Deux mois après le lancement du GPT Store d’OpenAI, les utilisateurs ont déjà créé plus de 3 millions de versions personnalisées de ChatGPT, ce qui illustre l’ampleur des enjeux de sécurité liés à la sécurisation des fournisseurs tiers.
• IDC indique que « 66 % des personnes interrogées citent la GenAI et, plus largement, les charges de travail d’IA publiques et privées parmi leurs principaux cas d’usage ». L’étude révèle que « la plupart des applications d’entreprise basées sur l’IA reposent sur une mise en œuvre fortement distribuée, nécessitant des dizaines, voire des centaines d’interactions avec des API qui doivent transiter par un ensemble diversifié d’environnements d’infrastructure et d’applications — cloud public, clouds spécialisés et infrastructures sur site — de manière hautement disponible et sécurisée ». Les chercheurs de F5 ont également constaté que la plupart des organisations prévoient de déployer des applications d’IA dans des environnements hybrides et multicloud. Les personnes interrogées dans le cadre de l’enquête sur l’état de la stratégie applicative ont indiqué qu’elles conserveraient leurs applications d’IA dans le cloud public (80 %) et sur site (54 %).