API REST : concevoir, sécuriser et industrialiser ses API

– Style REST : principes (ressources, représentations, sans état) et place dans une architecture n-tiers
– Verbes HTTP et codes de statut : sémantique correcte et erreurs courantes à éviter
– Niveaux de maturité (Richardson) et HATEOAS : repères pour situer une API, sans dogmatisme
– REST face aux alternatives : positionnement vis-à-vis de SOAP (legacy) et aperçu de GraphQL/gRPC
– Critères d’une « bonne » API : lisibilité, prévisibilité, évolutivité

– Nommage des ressources et structuration des URI : conventions partagées du métier
– Pagination, filtrage, tri : patterns standards pour les collections volumineuses
– Gestion des erreurs : formats normalisés (problem+json) et messages exploitables côté client
– Stratégies de versioning : URI, en-tête, media-type — arbitrages et impacts
– Idempotence et cohérence : fiabiliser les écritures et les rejeux

– Approche design-first : spécifier avant de coder pour aligner équipes et consommateurs
– OpenAPI 3.x : structure d’un contrat, schémas, paramètres, réponses
– Swagger et outillage : génération de documentation et de mocks
– Mocks et environnements de test : JSON Server, sandbox, données simulées
– Postman / Insomnia : explorer, requêter et documenter une API

– Surface d’attaque d’une API : en quoi elle diffère d’une application web classique
– Principes de sécurité : confidentialité, intégrité, disponibilité, traçabilité
– OWASP API Security Top 10 (2023) : panorama des risques majeurs et exemples concrets
– Abus de ressources et déni de service : throttling, rate-limiting, quotas
– Menaces automatisées : force brute, scraping et outillage offensif (cadrage concret)

– Authentification vs autorisation : distinguer les deux et leurs pièges
– OAuth2 : flows (authorization code, client credentials) et cas d’usage
– OpenID Connect : authentification déléguée et jetons d’identité
– Contrôle d’accès : RBAC vs ABAC / Resource-Based Access Control
– Failles d’autorisation : BOLA et accès non maîtrisé aux objets (risque n°1 de l’OWASP API)
– CORS et CSRF : comportements, bonnes configurations et erreurs fréquentes

– Rappels de cryptographie : signature, chiffrement, gestion des clés
– JOSE et structure d’un JWT : en-tête, payload, signature
– Vulnérabilités JWT : alg=none, confusion d’algorithme, clés faibles, fuite de jeton
– Bonnes pratiques : durée de vie, rotation, stockage et révocation des jetons

– Injections et désérialisation : vecteurs côté API et parades
– Cache poisoning, SSRF, ReDoS : mécanismes et mesures préventives
– Tests d’API : domaines à couvrir et conception d’une API « testable by design »
– Automatisation : scénarios de test avec Postman, exécution en CLI avec Newman
– Intégration continue : intégrer les tests d’API au pipeline pour prévenir les régressions

– Rôle d’une passerelle d’API Management : sécurité, quotas, observabilité
– Plans, clés d’API et politiques : gérer l’accès des consommateurs
– Observabilité : journalisation, métriques et supervision d’une API en production
– Déploiement et cycle de vie : exposer, publier et faire évoluer une API
– Panorama des solutions : Kong, Gravitee et équivalents (au choix du formateur)