L’OWASP API Security Top 10 2023 aide à structurer la revue, mais la menace réelle dépend des objets, fonctions, flux métier et consommateurs de chaque API.
Autorisation
Testez séparément l’accès aux objets, aux propriétés et aux fonctions. Un utilisateur authentifié ne doit pas pouvoir agir au-delà de son rôle ou sur une ressource d’autrui.
Ressources et flux métier
Limitez volume, fréquence et coût. Protégez les séquences sensibles contre l’automatisation abusive sans bloquer les usages légitimes.
Inventaire et configuration
- Versions et environnements réellement exposés.
- Méthodes, schémas et erreurs.
- Authentification et durée des jetons.
- Origines, chiffrement et en-têtes.
- Dépendances et API consommées.
- Journalisation et détection.
SSRF et services tiers
Validez les destinations, protocoles, redirections et données retournées. Considérez les services externes comme des entrées non fiables.
Preuve
Un test documente requête, autorisation, résultat, impact, reproductibilité et correction, en évitant toute donnée réelle non nécessaire.
Sources officielles
Sources relues le 2026-07-15.