STYLO / PEN-04
Test d'intrusion d'API
Tester les interfaces que les applications utilisent pour échanger des données, en accordant une attention particulière aux autorisations au niveau des objets et à l'utilisation abusive.
QUAND C'EST UTILE
Une réponse ciblée
à un besoin défini.
Product Owner ou CTO ; applications mobiles, intégrations de partenaires ou architectures exposant plusieurs API.
PORTÉE ET RÉSULTATS
Ce que couvre la mission.
Portée
- Routes et versions de l'inventaire
- authentification et autorisation
- vérifications des limites d'utilisation, des données renvoyées et de la logique métier
Livrables
- Matrice rôle-route-objet
- rapport de vulnérabilité
- exigences de remédiation et cas de tests de régression
Preuve de réception
Les limites des utilisateurs et des organisations sont mises à l'épreuve ; les scénarios susceptibles d'entraîner des coûts importants sont plafonnés.
LIVRAISON
Comment le travail est structuré.
Approche
Obtenir l'autorisation et les règles d'engagement ; préparer les comptes et les sauvegardes ; effectuer des tests contrôlés ; faire le point, nettoyer et organiser de nouveaux tests.
Prérequis et responsabilités
Client : autorisation écrite, propriété des actifs, permission de tiers, arrêt des contacts et périmètre. Fournisseur : tests délimités, preuves minimales et notification des constatations critiques.
Facteurs de portée
Applications, rôles, API, réseaux, complexité métier, accès fournis, profondeur et fenêtres autorisées. Boîte noire/grise/blanche et les tests de resoumission affectent l'effort ; prix après cadrage.
Questions à clarifier
La documentation OpenAPI est-elle disponible ? Qui consomme l'API ? Quelles sont les limites d'utilisation et les environnements de test existants ?
LIMITES IMPORTANTES
Définir les API tierces exclues et les limites ; les tests ne doivent pas devenir un exercice de déni de service.
Pas de déni de service, de destruction, d'exfiltration réelle ou d'ingénierie sociale sans autorisation explicite. Les tiers ne sont pas testés uniquement à la demande d'un client. Le périmètre non testé reste non évalué.
EN PRATIQUE
Situations illustratives.
Ces exemples décrivent des engagements possibles et des résultats cibles. Il ne s'agit pas de références clients ni de résultats obtenus.
Scénario 01
Un produit SaaS multi-tenant expose des dossiers via une API. Projet : tester la séparation des tenants. Résultat visé : appliquer l'autorisation pour les objets sensibles et fournir des tests de non-régression sans extraire de vrais dossiers.
Scénario 02
Une plateforme SMS facture par message. Projet : évaluer les limites et l'autorisation dans un environnement simulé. Résultat cible : des quotas et des contrôles de consommation sans envoi massif ni dépenses incontrôlées.
Contexte technologique et de référence
Sécurité des API OWASP ; documentation OpenAPI et identités de test séparées.
L'ensemble final des technologies est convenu lors du cadrage, sur la base de l'interopérabilité, des licences, des droits d'accès et des exigences opérationnelles.
SERVICES CONNECTÉS
Construisez l'étape suivante.
Ces services peuvent compléter la mission. Ils ne sont pas inclus automatiquement.
Commencer une conversation
Clarifiez la portée.
Nous clarifierons l'objectif, les dépendances et les responsabilités de ce service avant de proposer la livraison.