Pentest API : guide OWASP API Top 10 pour PME
Les API (REST, GraphQL, WebSocket) sont devenues le principal vecteur d’attaque des applications modernes. L’OWASP API Security Top 10 référence les 10 risques les plus critiques spécifiques aux API. Ce guide détaille chaque risque et la méthodologie de pentest associée.
R
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
OWASP API Top 10 (2023)
- API1 – BOLA : accès non autorisé aux objets d’autres utilisateurs.
- API2 – Broken Authentication : failles d’authentification (tokens faibles, absence d’expiration).
- API3 – BOPLA : exposition excessive de propriétés d’objets.
- API4 – Unrestricted Resource Consumption : absence de rate-limiting.
- API5 – Broken Function Level Authorization : accès à des fonctions admin.
- API6 – Unrestricted Access to Sensitive Business Flows.
- API7 – SSRF : Server-Side Request Forgery via l’API.
- API8 – Security Misconfiguration : CORS, headers, verbose errors.
- API9 – Improper Inventory Management : shadow APIs.
- API10 – Unsafe Consumption of APIs : confiance excessive dans les API tierces.
Méthodologie de pentest API
Le pentest API suit 4 phases : découverte (documentation, endpoints, méthodes HTTP), énumération (paramètres, rôles, tokens), exploitation (BOLA, injection, SSRF, escalade) et rapport avec preuves de concept reproductibles.
API REST vs GraphQL : différences de surface d'attaque
Les API GraphQL exposent une surface d’attaque différente : introspection, batching, deep nesting. Le pentest doit adapter ses vecteurs : query complexity attacks, field-level authorization bypass, injection dans les variables.
Pentest API chez Laucked
Chaque mission de pentest Laucked inclut la couverture de l’OWASP API Top 10 sur vos endpoints REST et GraphQL. Les findings sont documentés avec des requêtes curl reproductibles et des recommandations de correction par endpoint.
Besoin d'un pentest ?
Chez Laucked, nous testons vos applications web, API et intégrations sensibles avec une méthodologie OWASP/PTES. Diagnostic de surface gratuit, rapport sous 48-72h.
Demander un diagnostic gratuit