API exposées
Les failles API les plus graves ne sont pas toujours les plus bruyantes. Authorization trop large, BOLA, secrets mal gérés, tokens persistants, endpoints de debug oubliés : un audit API doit tester ce qui est réellement exploitable et prioriser ce qui met vos clients et votre produit en risque.
L'audit API fait partie de l'offre Pentest expert : surface API cadrée sur devis après diagnostic.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Livrables et priorisation
Expertise publique
Fondateurs Laucked
Les contenus clés sont reliés aux fondateurs, à des références anonymisées et à des surfaces de preuve consultables sans prise de contact.
Quand un audit API est utile
Explorateur d’endpoints
Pour chaque route, on contrôle l’auth, l’authorization, le scope, le rate-limit, l’exposition de données et le comportement face à des entrées malveillantes. Voici un extrait représentatif d’un audit Laucked, avec le type de finding qu’on remonte.
/v1/tenants/:id/objectsAPI1 · BOLA
severity HIGH
{
"error": "broken-object-level-authorization",
"tenant_observed": "tenant_a",
"tenant_token": "tenant_b",
"leak": "lecture autorisée"
}/v1/auth/loginAPI4 · Rate limiting
severity MED
{
"error": "no-rate-limit",
"endpoint": "/v1/auth/login",
"evidence": "1 200 attempts / 60 s sans verrou"
}/v1/payments/chargeAPI5 · BFLA
severity HIGH
{
"error": "broken-function-level-authorization",
"role": "support",
"operation": "charge",
"expected_role": "billing.write"
}/graphql · mutation updateUserAPI3 · Excessive data
severity MED
{
"error": "excessive-data-exposure",
"field": "user.tenantId",
"writable_by": ["tenant.admin", "support"]
}/v1/webhooks/inAPI8 · Misconfig
severity HIGH
{
"error": "missing-signature-validation",
"header": "X-Signature",
"consequence": "spoofing partenaire possible"
}Cas client anonymisé
Le produit exposait une API REST consommée par des partenaires, un espace client multi-tenant et des endpoints internes trop largement accessibles depuis Internet.
Corrections priorisées en 8 jours. La synthèse dirigeant a servi directement dans le questionnaire sécurité du client final.
{
"remediation": "priorisée par sévérité",
"lead_time_days": 8,
"reuse": ["questionnaire client", "revue fournisseur"]
}Questions fréquentes
Un audit API va plus loin sur les contrôles d'accès, le cloisonnement inter-tenant, les scopes, les tokens et les intégrations. C'est souvent la zone la plus sensible d'un SaaS B2B.
Non. Le scan peut aider à cartographier, mais l'audit API utile repose sur des tests manuels, de la logique métier et la vérification d'exploitabilité.
Celles qui exposent des données client, de l'authentification, de l'administration, des flux partenaires ou de la facturation. Plus la logique métier est critique, plus la vérification doit être précise.
Un audit API utile doit aider à corriger, mais aussi à documenter. Si vos clients, vos partenaires ou vos dirigeants veulent une vue défendable du risque, le travail doit être lisible autant qu’offensif.