{"id":45562,"date":"2022-08-17T18:51:51","date_gmt":"2022-08-17T18:51:51","guid":{"rendered":"https:\/\/www.kite47.com\/?p=45562"},"modified":"2022-08-17T19:01:15","modified_gmt":"2022-08-17T19:01:15","slug":"et-si-le-succi-s-quelques-notions-client-dependait-3","status":"publish","type":"post","link":"https:\/\/kite47.com\/index.php\/2022\/08\/17\/et-si-le-succi-s-quelques-notions-client-dependait-3\/","title":{"rendered":"Et si le succi?s quelques notions client dependait d’une securisation des API ?"},"content":{"rendered":"Et si le succi?s quelques notions client dependait d’une securisation des API ?<\/title><\/p>\n<p>Pour fournir a ses clients et utilisateurs la meilleure experience numerique possible, les strategies de developpement basees i\u00a0 propos des API se seront multipliees. Mais quelles bonnes pratiques de securite adopter ?<\/p>\n<p>On estime qu\u2019actuellement une seule transaction sur la toile ou dans un smartphone transite en moyenne avec 35 systemes ou composants technologiques divers, contre 22 Il existe juste 5 ans.<\/p>\n<p>Les API (ou interface de programmation d’applications) paraissent desormais au c?ur du fonctionnement du web : application meteo, systeme de navigation, comparateur tarifaire tout transite via des API. Toutefois, connecter des services necessite d\u2019echanger de donnees. des fois critiques. La politique de securisation des API est-elle optimale ? Mes dernieres fuites de precisions chez Facebook, Apple, Tinder. tendent a demontrer le contraire. Alors De quelle fai\u00a7on tirer pleinement profits des benefices offerts via des API tout en securisant nos donnees des firmes ainsi que leurs utilisateurs ?<\/p>\n<h2>Multiplication des API et \u201cgo to market\u201d<\/h2>\n<p>Selon Gartner, “Les API sont aujourd’hui au c?ur de l’architecture des applications car elles peuvent permettre une integration sans couplage extri?mement et aident au fonctionnement des applications mobiles et de nombreux appareils IoT”.<!--more--> Elles favorisent l’innovation interne en offrant l’agilite et J’ai flexibilite necessaires et permettent une mise via le marche plus rapide de nouveaux <a href=\"https:\/\/datingmentor.org\/fr\/hot-or-not-review\/\">https:\/\/datingmentor.org\/fr\/hot-or-not-review\/<\/a> services. Plus besoin de developper des fonctionnalites necessaires au fonctionnement d\u2019une application si elles existent deja ailleurs, il suffit de les integrer. Dans un monde ou la technologie evolue constamment pour repondre aux besoins des consommateurs et des utilisateurs, la capacite a fournir des services facilement et a moindre cout reste vitale.<\/p>\n<p>Mecanisme de communication preponderant et incontournable pour toute entreprise en phase de transformation digitale, les API s\u2019appuient non seulement dans des precisions publiques mais egalement via des donnees privees voir sensibles (n\u00b0 de carte bancaire, n\u00b0 de securite sociale, . ). Cette interconnexion de services et d\u2019applications souleve du coup une question incontournable, comment assurer un acces permanent a toutes les informations qu’importe la zone et le device en toute securite ?<\/p>\n<p>Selon votre audit concernant la securite de 128 applications web[1], des failles graves ont ete observees dans 60% des cas et la situation est tres similaire pour les API.<\/p>\n<h2>Une fuite de informations silencieuse<\/h2>\n<p>Notre grande majorite des attaques API restent invisibles et ne semblent, de fait, detectees que reellement un moment apres, pourtant lorsqu’une API en gali?re securisee conduit a une violation de donnees, des consequences sont vraiment dommageables.<\/p>\n<p>En septembre 2018, Facebook a fait l\u2019objet d\u2019un detournement massif de precisions qui possi?de affecte environ 50 millions de comptes. Pire i\u00a0 nouveau, ils ont admis qu’ils ne savaient jamais quel type d’informations avait ete vole a Notre suite de une telle breche. Notre vulnerabilite proprement dit, qui a mis 20 mois avant d\u2019etre detectee et corrigee, etait due a une fonctionnalite de View As, une API qui permettait aux developpeurs de mettre les pages en mode utilisateur. Ce n\u2019est jamais une premiere pour la firme de Menlo Park et c\u2019est loin d\u2019etre un cas isole. Mes services postaux americains ont egalement connu deux desagrements, en novembre 2018, suite a une vulnerabilite d’authentification dans l’API de suivi du courrier qui a permis a toute personne possedant un compte de visualiser les precisions d\u2019autres comptes. La meme annee, un tracas de securisation d\u2019une API utilisee avec Salesforce a expose les coordonnees de la clienti?le et les donnees des prospects.<\/p>\n<p>Les API non securisees peuvent servir de porte derobee a une application ? securisee, une authentification robuste au niveau de l’API est donc essentielle.<\/p>\n<h2>Et si le CIAM etait la reponse ?<\/h2>\n<p>Porte par la generalisation des prestations cloud, le CIAM (customer identity and access management) n\u2019est desormais plus cantonne a toutes les problematiques de provisioning utilisateur et d\u2019authentification mais est devenu une composante essentielle en transformation numerique des firmes. La securite etant inherente a toute solution de gestion des identites et des acces, elle s\u2019appuie par exemple sur le protocole de delegation d’autorisation OAuth (Open Authorization), element central de la securisation des API, qui permet a une application d\u2019obtenir un acces limite a une ressource pour le compte d\u2019un utilisateur. Plusieurs applications necessitant une securite forte utilisent deja le CIAM pour s’integrer a quelques types d’identites de tiers, comme les banques, les operateurs de reseaux mobiles ou le gouvernement – des acteurs qui exigent une verification fine des identites numeriques.<\/p>\n<p>Par sa conception, le CIAM va evaluer les politiques d’autorisation, construire des profils d’identite et coder les attributs necessaires au fonctionnement des API tout en offrant une securite maximale.<\/p>\n<p>[1] Source : Wavestone : Bilan d’une securite des e-boutiques internet en France<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Et si le succi?s quelques notions client dependait d’une securisation des API ? Pour fournir a ses clients et utilisateurs la meilleure experience numerique possible, les strategies de developpement basees i\u00a0 propos des API se seront multipliees. Mais quelles bonnes pratiques de securite adopter ? On estime qu\u2019actuellement une seule transaction sur la toile ou<a class=\"read-more\" href=\"https:\/\/kite47.com\/index.php\/2022\/08\/17\/et-si-le-succi-s-quelques-notions-client-dependait-3\/\"> […]<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[16768],"tags":[],"_links":{"self":[{"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/posts\/45562"}],"collection":[{"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/comments?post=45562"}],"version-history":[{"count":1,"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/posts\/45562\/revisions"}],"predecessor-version":[{"id":45563,"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/posts\/45562\/revisions\/45563"}],"wp:attachment":[{"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/media?parent=45562"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/categories?post=45562"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/kite47.com\/index.php\/wp-json\/wp\/v2\/tags?post=45562"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}