GraphQL Security

Définition

GraphQL Security couvre les vulnérabilités et pratiques de sécurisation spécifiques au protocole GraphQL, une alternative aux APIs REST développée par Facebook (Meta) en 2015. GraphQL offre des avantages de flexibilité significatifs (les clients définissent exactement les données dont ils ont besoin, réduisant le sur-fetching), mais introduit des vecteurs d'attaque spécifiques que les approches de sécurité REST classiques ne couvrent pas. Les vulnérabilités spécifiques à GraphQL découlent de sa nature : un seul endpoint (/graphql) traite toutes les requêtes, les requêtes peuvent être arbitrairement complexes et imbriquées (introspection, fragments, requêtes récursives), et la flexibilité de la spécification peut facilement conduire à des implémentations non sécurisées. Les attaques GraphQL les plus courantes incluent : l'Introspection Abusive, qui permet à un attaquant de cartographier entièrement le schéma de l'API (types, champs, mutations) pour planifier d'autres attaques. Les Batch Queries et Query Batching permettent d'envoyer des centaines de requêtes en un seul appel HTTP, contournant les rate limits basés sur le nombre de requêtes HTTP. Les Nested Queries et Query Depth Attacks (requêtes profondément imbriquées comme author { posts { author { posts { ... } } } }) peuvent provoquer des chargements exponentiels en base de données et un déni de service. Les Alias Attacks utilisent les alias GraphQL pour contourner les rate limits de champ (username1: user(id: 1) { email }, username2: user(id: 2) { email } ...). Les mesures de sécurisation GraphQL comprennent : désactiver l'introspection en production (ou la restreindre aux utilisateurs authentifiés), implémenter des limites de profondeur de requête (max depth : 7-10), des limites de complexité (query complexity analysis), du rate limiting basé sur la complexité plutôt que sur le nombre de requêtes HTTP, l'authentification systématique avant tout resolver, l'autorisation au niveau de chaque champ et mutation (pas seulement au niveau du schéma), et la validation des variables d'entrée. Des outils spécialisés comme Inigo, Escape.tech, et les bibliothèques graphql-depth-limit, graphql-rate-limit (Node.js) ou graphene-shield (Python) facilitent l'implémentation de ces contrôles.