Présentation d'outils utiles pour l'évaluation, le test et la surveillance de la vulnérabilité des API.
Outils qui envoient des requêtes aux API en cours d'exécution pour détecter les vulnérabilités.
L'outil standard de l'industrie pour les tests de sécurité des applications web et des API. Fonctions d'interception et d'analyse basées sur un proxy.
Importer une définition OpenAPI/Swagger pour explorer et tester automatiquement tous les points d'extrémité.
Un outil de test de sécurité open-source développé par l'OWASP. Facile à intégrer dans les pipelines CI/CD.
docker run -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \ -t https://api.example.com/openapi.json \ -f openapi \ -r report.html
L'outil de référence pour le développement et les tests d'API. Il est également utile pour les tests de sécurité.
// Validation du code d'état pm.test("Status is 200", () => { pm.response.to.have.status(200); }); // Validation de l'en-tête de sécurité pm.test("Security headers present", () => { pm.response.to.have.header("X-Content-Type-Options"); pm.response.to.have.header("Strict-Transport-Security"); }); // Vérifier l'exposition des données sensibles pm.test("No sensitive data exposed", () => { const body = pm.response.json(); pm.expect(body).to.not.have.property("password"); pm.expect(body).to.not.have.property("password_hash"); pm.expect(body).to.not.have.property("secret"); });
Test rapide de l'API à partir de la ligne de commande. Facile à écrire et à automatiser.
# Vérifier les en-têtes de la réponse curl -s -D - -o /dev/null https://api.example.com/health # Tentative d'accès sans authentification curl -s -w "%{http_code}" https://api.example.com/api/users # Test BOLA (accès aux ressources d'un autre utilisateur) curl -s -H "Authorization: Bearer $TOKEN" \ https://api.example.com/api/users/OTHER_USER_ID
Outil d'analyse statique basé sur des modèles. Facilité de création de règles personnalisées.
Analyse des vulnérabilités liées aux dépendances et analyse du code.
Vérification de la vulnérabilité des gestionnaires de paquets et des conteneurs.
npm audit : paquets Node.jspip audit : Paquets Python# Vérifier les dépendances Node.js npm audit --production # Analyse de sécurité avec Semgrep semgrep --config=p/security-audit ./src # Scanner de conteneurs avec Trivy trivy image --severity HIGH,CRITICAL myapp:latest
Définir les spécifications de l'API dans un format lisible par une machine. Également utilisé comme intrant pour les tests de sécurité.
Un outil d'alignement pour les spécifications OpenAPI. Vérifie la conformité avec les meilleures pratiques en matière de sécurité.
Kong, AWS API Gateway, Apigee, etc.
AWS WAF, Cloudflare, ModSecurity et autres.
ELK Stack, Splunk, Datadog et autres.
Specialized tools for testing and securing LLMs, AI agents, and ML pipelines.
LLM vulnerability scanner that probes for prompt injection, data leakage, hallucination, and other LLM-specific weaknesses.
# Install garak pip install garak # Run prompt injection probes against an OpenAI model garak --model_type openai --model_name gpt-4 \ --probes promptinject # Run all probes and generate report garak --model_type openai --model_name gpt-4 \ --probes all --report_prefix my_audit
Addresses: LLM01: Prompt Injection, LLM06: Excessive Agency
Prompt injection detection framework with multi-layer defense: heuristics, LLM-based analysis, and vector similarity.
Addresses: LLM01: Prompt Injection
Runtime guardrails framework for LLM applications. Define conversation boundaries using Colang rules.
Addresses: LLM02: Insecure Output Handling, ASI07: Inadequate Guardrails
Python Risk Identification Tool for generative AI. Automates red-teaming with multi-turn attack strategies.
Addresses: LLM01: Prompt Injection, LLM07: Insecure Plugin Design
| Objectif | Outil recommandé | Calendrier |
|---|---|---|
| Vérification de la sécurité de la spécification de l'API | Spectral | Phase de conception / spécification |
| Analyse de la sécurité du code | Semgrep | Développement / Relations publiques |
| Vérification de la vulnérabilité des dépendances | Snyk / npm audit | Temps de construction / Périodique |
| Tests de sécurité manuels | Burp Suite / Postman | Phase de test / QA |
| Analyse automatisée (CI/CD) | OWASP ZAP | Pré-déploiement |
| Protection de l'environnement de production | WAF + API Gateway | En fonctionnement |
| Surveillance des journaux et détection des anomalies | SIEM (ELK / Datadog) | En service / En continu |
| LLM vulnerability scanning | Garak / PyRIT | Pre-deployment / Periodic |
| Prompt injection detection | Rebuff | Runtime / Integration |
| LLM runtime guardrails | NeMo Guardrails | Runtime / Continuous |
| AI red-teaming automation | PyRIT | Testing / QA phase |
| AI model supply chain verification | Semgrep / ModelScan | Build time / Pre-deployment |