OWASP API Security Top 10

Définition

L'OWASP API Security Top 10 est une liste des dix risques de sécurité les plus critiques spécifiques aux APIs (Application Programming Interfaces), publiée par la fondation OWASP. Lancée en 2019 et mise à jour en 2023, cette liste complète l'OWASP Top 10 applicatif classique en se concentrant sur les vulnérabilités inhérentes aux architectures API REST, GraphQL, gRPC et autres protocoles d'échange de données modernes. La prolifération des APIs dans les architectures microservices, les applications mobiles et les intégrations B2B en a fait une surface d'attaque majeure. Les APIs exposent directement la logique métier et les données, souvent avec moins de protection que les interfaces web traditionnelles. Les violations de données majeures de ces dernières années (Facebook, Experian, T-Mobile) impliquaient souvent des APIs mal sécurisées comme vecteur d'attaque. Les dix risques de l'OWASP API Security Top 10 2023 sont : API1 Broken Object Level Authorization (BOLA/IDOR), API2 Broken Authentication, API3 Broken Object Property Level Authorization, API4 Unrestricted Resource Consumption, API5 Broken Function Level Authorization, API6 Unrestricted Access to Sensitive Business Flows, API7 Server Side Request Forgery (SSRF), API8 Security Misconfiguration, API9 Improper Inventory Management, et API10 Unsafe Consumption of APIs. BOLA (Broken Object Level Authorization, API1) est le risque le plus fréquent et le plus impactant : l'API ne vérifie pas que l'utilisateur authentifié a le droit d'accéder à l'objet demandé par son identifiant. Par exemple, une requête GET /api/orders/12345 ne vérifie pas que la commande 12345 appartient à l'utilisateur qui fait la requête — permettant à n'importe quel utilisateur authentifié d'accéder aux commandes d'autres utilisateurs en incrémentant l'identifiant. L'OWASP API Security Project propose des guides de test, des checklists de sécurisation, et des ressources de formation pour chacun des dix risques. Ces ressources sont intégrées dans les formations DevSecOps pour sensibiliser les développeurs d'APIs aux patterns de vulnérabilités spécifiques à leur contexte.