API Inventory

Définition

L'API Inventory (inventaire des APIs) est un registre centralisé et à jour de toutes les APIs exposées par une organisation — internes et externes, documentées et non documentées, actuelles et déprécées. Maintenir un inventaire exhaustif des APIs est une pratique de gouvernance fondamentale en DevSecOps, condition préalable à la gestion des vulnérabilités, la conformité réglementaire, et la réponse aux incidents de sécurité impliquant des APIs. L'OWASP API Security Top 10 cite l'absence d'inventaire (API9 Improper Inventory Management) parmi les risques critiques : sans inventaire, les organisations ne peuvent pas répondre à des questions basiques comme "quelles APIs sont exposées à Internet ?" ou "quelle API utilise cette bibliothèque vulnérable ?". Cette opacité conduit à l'accumulation de Shadow APIs et Zombie APIs non gérées. Un API Inventory complet capture pour chaque API : son identifiant unique et nom, l'URL de base et les versions, le propriétaire (équipe et responsable), l'environnement (dev/staging/prod), la classification des données traitées (publique/interne/confidentielle/sensible), les consommateurs internes et externes connus, l'état de vie (active/déprécée/en cours de suppression), le statut de sécurité (date du dernier scan, vulnérabilités connues, conformité aux standards), et les liens vers la documentation OpenAPI. Les sources d'alimentation d'un API Inventory incluent les portails développeur (Confluence, Backstage, Apigee Developer Portal), les configurations d'API Gateway (qui peuvent être scrapées automatiquement), les outils de découverte passive (Salt Security, Noname, Traceable.ai qui analysent le trafic réseau pour cartographier les APIs réelles), et les processus d'onboarding des nouvelles APIs (les équipes s'enregistrent obligatoirement avant de déployer une nouvelle API publique). L'API Inventory doit être traité comme un actif critique de la gouvernance : maintenu à jour en temps quasi-réel (via des intégrations automatisées avec les API Gateways et les outils de déploiement), accessible aux équipes sécurité pour la gestion des vulnérabilités, et utilisé comme source de vérité pour les audits de conformité.