GraphQL Security Testing

Définition

Le GraphQL Security Testing désigne l'ensemble des tests de sécurité spécifiques aux APIs GraphQL, qui présentent des vecteurs d'attaque différents des APIs REST classiques en raison de leur nature flexible (un seul endpoint, queries définies par le client, introspection exposant le schéma complet). Cette flexibilité, qui est la force de GraphQL, crée également des risques de sécurité uniques nécessitant des approches de test adaptées. Les vulnérabilités spécifiques à GraphQL incluent : l'introspection non désactivée en production (un attaquant peut récupérer le schéma complet de l'API via une requête __schema, cartographiant l'ensemble des types, champs, et mutations disponibles), les DoS par requêtes imbriquées (les queries GraphQL peuvent être récursives — une query demandant les amis des amis des amis jusqu'à N niveaux peut générer des millions de requêtes DB), les BOLA/IDOR via les types Union (accès à des champs de différents types via les interfaces GraphQL, contournant les vérifications d'autorisation partielles), les injections via les arguments de field (les résolveurs GraphQL peuvent être vulnérables aux mêmes injections que les APIs REST), et les Batch Attacks (exécution de centaines de mutations en un seul document GraphQL, contournant le rate limiting basé sur le nombre de requêtes HTTP). Les outils de test de sécurité GraphQL incluent : GraphQL Voyager (visualisation du schéma — utile en reconnaissance), InQL (extension Burp Suite pour la génération de queries depuis le schéma, le scan d'injection, et les tests de Batch Attacks), BatchQL (détection des batch attacks GraphQL), graphql-threat-matrix (référentiel des attaques GraphQL avec tests par implémentation), et Clairvoyance (découverte de schéma GraphQL même quand l'introspection est désactivée). La sécurisation de GraphQL nécessite des contrôles spécifiques : désactivation de l'introspection en production, limites de profondeur de query (max-depth), limites de complexité (max-complexity calculée depuis l'arbre de query), et persisted queries (liste blanche de queries autorisées en production).