API7 Security Misconfiguration

Définition

API7 Security Misconfiguration est le septième risque de l'OWASP API Security Top 10, couvrant l'ensemble des erreurs de configuration de sécurité dans les APIs, les serveurs les hébergeant, et leur infrastructure environnante. La misconfiguration de sécurité est l'une des vulnérabilités les plus répandues et les plus simples à exploiter : pas de connaissance approfondie requise, souvent détectable par un simple scan automatisé. Les manifestations de l'API7 Security Misconfiguration sont nombreuses. Les headers de sécurité HTTP manquants (CORS trop permissif avec Access-Control-Allow-Origin: *, absence de Content-Security-Policy, de Strict-Transport-Security, ou de X-Content-Type-Options) exposent les utilisateurs des APIs à des attaques secondaires. Les méthodes HTTP inutiles activées (TRACE, OPTIONS avec verbose response) divulguent des informations de configuration. Les messages d'erreur verbeux révèlent des détails sur la stack technique (version du framework, structure de la base de données, chemins de fichiers internes) exploitables pour des attaques ciblées. TLS mal configuré (certificat auto-signé accepté, chiffrement faible, TLS 1.0/1.1 accepté) affaiblit la sécurité du transport. La gestion des Cross-Origin Resource Sharing (CORS) est l'une des misconfigurations API les plus courantes : un CORS ouvert (Access-Control-Allow-Origin: *, Access-Control-Allow-Credentials: true) permet à n'importe quel site web malveillant d'effectuer des requêtes authentifiées vers l'API depuis le navigateur d'un utilisateur victime, dans le cadre d'attaques CSRF avancées. La prévention de l'API7 Security Misconfiguration repose sur l'automatisation : les scans de configuration dans les pipelines CI vérifient les headers de sécurité, les profiles de sécurité des API Gateways appliquent des configurations de base uniformes, et les outils de posture management (CSPM, 42Crunch) identifient les misconfigurations dans les specs OpenAPI avant déploiement.