APIs exposées : la menace n°1 de 2025
Gartner prédit que les APIs sont devenues le vecteur d'attaque le plus fréquent. En 2025, 90% des organisations ont des APIs exposées dont elles ignorent l'existence ou l'état de sécurité.
Les 5 types d'APIs à risque
1. APIs sans authentification
L'OWASP API Security Top 10 place le Broken Object Level Authorization (BOLA) en première position. Des APIs accessibles sans token ou clé API permettent l'accès libre aux données.
2. APIs « Shadow » non documentées
Développées pour des besoins internes, ces APIs se retrouvent exposées sur Internet après une migration cloud sans que personne ne le sache.
3. APIs en versions obsolètes
https://api.example.com/v1/users -> déprécié, non maintenu
https://api.example.com/v2/users -> actif, sécurisé
https://api.example.com/v3/users -> actif, sécurisé
La v1 est souvent oubliée et non patchée alors qu'elle expose les mêmes données.
4. APIs de développement/staging
Les environnements de recette ont souvent les mêmes APIs que la production, sans les mêmes protections.
5. APIs de partenaires non surveillées
Des endpoints créés pour un intégrateur tiers restent ouverts après la fin du contrat.
Comment l'EASM détecte les APIs exposées
Crawling applicatif : Breach Atlas explore vos applications web et extrait automatiquement les endpoints découverts dans le code HTML, les fichiers JavaScript et les réponses HTTP.
Détection des fichiers de spécification : L'EASM détecte les fichiers swagger.json, openapi.yaml, api-docs exposés publiquement qui listent tous vos endpoints.
Scan OWASP API Top 10 : Test automatique des 10 vulnérabilités les plus courantes des APIs REST et GraphQL.
OWASP API Security Top 10 : les risques à scanner
| Rang | Vulnérabilité | Impact |
|---|---|---|
| API1 | Broken Object Level Auth | Accès non autorisé aux données |
| API2 | Broken Authentication | Usurpation d'identité |
| API3 | Broken Object Property Level Auth | Exposition d'attributs sensibles |
| API4 | Unrestricted Resource Consumption | Déni de service |
| API5 | Broken Function Level Auth | Accès aux fonctions admin |
Guide de sécurisation des APIs
- Inventorier toutes les APIs (internes, externes, shadow)
- Authentifier chaque endpoint (OAuth2, API keys)
- Valider tous les inputs (rate limiting, taille des requêtes)
- Versionner et déprécier** les anciennes versions
- Monitorer en continu les comportements anormaux
Conclusion
Les APIs exposées sont le talon d'Achille de la transformation numérique. L'EASM est l'outil qui vous permet de maintenir un inventaire complet de vos APIs et de détecter les nouvelles expositions avant qu'elles soient exploitées.
Mots-clés : APIs exposées risques, sécurisation API REST, OWASP API Security Top 10, détection APIs vulnérables, EASM APIs, shadow APIs sécurité