Cloud API Security

Définition

La Cloud API Security est la discipline de sécurisation des APIs exposées dans les environnements cloud, couvrant les APIs REST, GraphQL, et gRPC utilisées pour les communications inter-services, l'intégration avec des partenaires, et l'accès par les applications clientes. Avec l'architecture microservices cloud-native, le nombre d'APIs à sécuriser a explosé et constitue aujourd'hui une surface d'attaque majeure. Les attaques API cloud courantes référencées dans l'OWASP API Security Top 10 incluent : API1 - Broken Object Level Authorization (accès à des ressources appartenant à d'autres utilisateurs via manipulation des IDs), API2 - Broken Authentication (tokens faibles, pas de rate limiting sur les endpoints d'authentification), API3 - Broken Object Property Level Authorization (exposition de champs sensibles dans les réponses API), API4 - Unrestricted Resource Consumption (absence de rate limiting permettant des attaques DoS ou de scraping), et API8 - Security Misconfiguration (APIs de management exposées sans authentication, CORS mal configuré). La protection des APIs cloud utilise plusieurs couches complémentaires : le Cloud WAF (filtrage des requêtes malveillantes OWASP Top 10 et injection), l'API Gateway (authentification, autorisation, rate limiting, transformation des requêtes), le mTLS (mutual TLS pour les communications service-to-service dans les microservices), et le CASB/API Security Posture (inventaire automatique des APIs exposées et détection des shadow APIs). Les API Gateways cloud (AWS API Gateway, Azure API Management, GCP Apigee, Kong, Traefik) centralisent les contrôles de sécurité des APIs : authentification (API Keys, OAuth 2.0, JWT validation), autorisation (scopes et claims JWT), rate limiting (limitation des requêtes par IP, par client, par endpoint), transformation des requêtes (ajout de headers de sécurité, masquage des données sensibles dans les réponses), et observabilité (logging centralisé de toutes les requêtes API avec leur statut).