API Versioning Security

Définition

L'API Versioning Security désigne les pratiques de sécurisation associées à la gestion des versions d'APIs dans leur cycle de vie. La versioning des APIs (v1, v2, v3) est une pratique standard permettant d'introduire des changements incompatibles sans casser les clients existants — mais elle crée des risques de sécurité spécifiques quand les anciennes versions restent accessibles sans les contrôles de sécurité des versions récentes. Le problème central de l'API versioning de sécurité est la divergence progressive des niveaux de sécurité entre versions. L'équipe de développement corrige une vulnérabilité dans l'API v3, mais n'applique pas le correctif à la v1 et v2 "bientôt dépréciées". Les attaquants, qui scannent systématiquement les anciennes versions d'API, exploitent ces vulnérabilités corrigées dans les versions récentes mais pas dans les anciennes. Ce pattern est documenté dans l'API9 OWASP (Improper Inventory Management) et dans de nombreux cas d'exploitation réels. La gestion sécurisée du versioning d'API nécessite plusieurs pratiques. La politique de parité de sécurité : tout correctif de sécurité appliqué à une version doit être appliqué à toutes les versions actives supportées — cette contrainte rend les versions multiples coûteuses à maintenir et accélère les sunsets. La politique de support limité : une politique formelle définit combien de versions majeures sont simultanément supportées (souvent N et N-1) et la durée de support. La liste exhaustive des versions actives dans l'API Inventory : impossible de maintenir la parité de sécurité sans savoir combien de versions sont actives. Les patterns d'URL de versioning (/v1/, /v2/ dans le chemin, Accept: application/vnd.api+json;version=2 dans les headers, ou subdomain api-v1.example.com) influencent la facilité de découverte et d'isolation des versions. Les versions dans les subdomains ou les chemins sont plus facilement bloqueables au niveau du WAF ou du load balancer que les versions dans les headers.