Comment sécuriser les API et les webservices exposés par un site web ?

La sécurisation d'une API repose sur quatre piliers indissociables : authentifier et autoriser chaque appel individuellement, limiter le débit pour empêcher l'aspiration massive, valider strictement toutes les entrées, et ne renvoyer que les données strictement nécessaires. Une API n'est pas une page : elle est conçue pour être appelée par des machines, ce qui la rend invisible aux contrôles habituels et rarement couverte par les audits d'un site vitrine.

Les erreurs les plus fréquentes

• L'API oubliée : un point d'entrée activé pour une intégration ponctuelle, jamais désactivé après. C'est le cas typique des interfaces exposées par défaut par certains CMS.
• L'autorisation absente : l'appel est authentifié, mais rien ne vérifie que ce compte a le droit d'accéder à cette ressource précise. Un simple changement d'identifiant dans l'URL donne accès aux données d'un autre.
• La sur-exposition : la réponse renvoie tout l'objet, y compris des champs internes ou personnels que l'affichage n'utilise pas mais qui restent lisibles.
• La clé en clair : un jeton d'accès stocké dans le code du site, dans un dépôt, ou transmis en paramètre d'URL où il finit dans les journaux.

Les réflexes à installer

Inventorier les points d'entrée réellement exposés, imposer le chiffrement HTTPS sans exception, faire tourner les jetons régulièrement, journaliser les appels pour détecter les usages anormaux, et traiter les données personnelles transitant par l'API comme n'importe quel traitement soumis au RGPD.

Pulsar Agency intègre l'inventaire et le durcissement des interfaces exposées à ses audits et à sa maintenance de sécurité. Voir notre offre sécurité site web.