OWASP API Top 10 (2023)
- API1 – BOLA : accès non autorisé aux objets d'autres utilisateurs.
- API2 – Broken Authentication : failles d'authentification (tokens faibles, absence d'expiration).
- API3 – BOPLA : exposition excessive de propriétés d'objets.
- API4 – Unrestricted Resource Consumption : absence de rate-limiting.
- API5 – Broken Function Level Authorization : accès à des fonctions admin.
- API6 – Unrestricted Access to Sensitive Business Flows.
- API7 – SSRF : Server-Side Request Forgery via l'API.
- API8 – Security Misconfiguration : CORS, headers, verbose errors.
- API9 – Improper Inventory Management : shadow APIs.
- API10 – Unsafe Consumption of APIs : confiance excessive dans les API tierces.
Méthodologie de pentest API
Le pentest API suit 4 phases : découverte (documentation, endpoints, méthodes HTTP), énumération (paramètres, rôles, tokens), exploitation (BOLA, injection, SSRF, escalade) et rapport avec preuves de concept reproductibles.
API REST vs GraphQL : différences de surface d'attaque
Les API GraphQL exposent une surface d'attaque différente : introspection, batching, deep nesting. Le pentest doit adapter ses vecteurs : query complexity attacks, field-level authorization bypass, injection dans les variables.
Pentest API chez Laucked
Chaque mission de pentest Laucked inclut la couverture de l'OWASP API Top 10 sur vos endpoints REST et GraphQL. Les findings sont documentés avec des requêtes curl reproductibles et des recommandations de correction par endpoint.