API9 Improper Inventory Management

Définition

API9 Improper Inventory Management est le neuvième risque de l'OWASP API Security Top 10, désignant les risques liés à l'absence de documentation, de gouvernance, et d'inventaire des APIs. Ce risque couvre deux sous-problèmes fondamentaux : les APIs non documentées (personne ne sait qu'elles existent) et les APIs périmées (les anciennes versions restent accessibles alors que seules les nouvelles devraient l'être). L'absence d'inventaire API conduit à l'accumulation de Shadow APIs et de Zombie APIs. Les Shadow APIs sont des APIs déployées sans passer par le processus officiel (par des développeurs individuels, des équipes travaillant en mode agile rapide, ou des outils d'automatisation) et qui ne sont pas documentées dans le catalogue officiel. Sans connaissance de leur existence, elles ne bénéficient d'aucun contrôle de sécurité, d'aucune politique de mise à jour, et d'aucun monitoring. Les Zombie APIs sont des anciennes versions d'APIs (v1, v2) qui auraient dû être désactivées lors du déploiement de la version suivante mais qui restent actives, souvent avec des niveaux de sécurité inférieurs aux versions récentes. L'exploitation de l'API9 ne requiert pas de technique sophistiquée : un attaquant effectue une reconnaissance des sous-domaines et des chemins d'API (via Google Dorking, Wayback Machine, analyse de l'application mobile ou du JavaScript frontend), découvre d'anciennes versions d'API (api.example.com/v1 accessible malgré la migration vers v3), et les teste — ces anciennes versions ont souvent les vulnérabilités des APIs v2 et v3 sans les corrections de sécurité appliquées depuis. La remédiation de l'API9 nécessite une gouvernance formelle des APIs : un catalogue d'APIs central (API Registry) obligatoire (aucun déploiement d'API sans enregistrement), un processus de sunset documenté pour les anciennes versions (deadline annoncée aux consommateurs, désactivation effective à la date prévue), et des outils de découverte passive (Salt Security, Noname) qui identifient les APIs non enregistrées en observant le trafic réseau.