##Impact Les API compromises permettent aux attaquants de contourner les interfaces utilisateur et d'interagir directement avec les bases de données et les services backend [S1]. Cela peut conduire à une exfiltration de données non autorisée, à des rachats de compte par force brute ou à une indisponibilité du service en raison de l'épuisement des ressources [S3][S5].
Cause première
La cause principale est l'exposition de la logique interne via des points de terminaison qui ne disposent pas d'une validation et d'une protection suffisantes. [S1]. Les développeurs supposent souvent que si une fonctionnalité n'est pas visible dans l'interface utilisateur, elle est sécurisée, ce qui entraîne des contrôles d'accès brisés [S2] et des politiques permissives CORS qui font confiance à trop d'origines [S4].
Liste de contrôle de sécurité essentielle API
- Appliquer un contrôle d'accès strict : chaque point de terminaison doit vérifier que le demandeur dispose des autorisations appropriées pour la ressource spécifique à laquelle il accède [S2].
- Mise en œuvre de la limitation du débit : protégez-vous contre les abus automatisés et les attaques DoS en limitant le nombre de requêtes qu'un client peut effectuer dans un délai spécifique [S3].
- Configurez correctement CORS : évitez d'utiliser des origines génériques (
*) pour les points de terminaison authentifiés. Définir explicitement les origines autorisées pour empêcher les fuites de données entre sites [S4]. - Audit de la visibilité des points de terminaison : recherchez régulièrement les points de terminaison « cachés » ou non documentés susceptibles d'exposer des fonctionnalités sensibles [S1].
Comment FixVibe le teste
FixVibe couvre désormais cette liste de contrôle via plusieurs vérifications en direct. Les sondes à portail actif testent la limitation du débit du point de terminaison d'authentification, CORS, CSRF, l'injection SQL, les faiblesses du flux d'authentification et d'autres problèmes liés à API uniquement après vérification. Les contrôles passifs inspectent les en-têtes de sécurité, la documentation publique API et l'exposition OpenAPI, ainsi que les secrets des bundles clients. Les analyses de dépôt ajoutent un examen des risques au niveau du code pour CORS non sécurisé, l'interpolation SQL brute, les secrets JWT faibles, l'utilisation de JWT en décodage uniquement, les lacunes de signature de webhook et les problèmes de dépendance.