Vérification de la connexion
Chaque service, partenaire, fournisseur et environnement utilise des clés et un compte distincts.
Documentation / Sécurité API
Authentification et sécurité des API
Mettez en place un accès API sécurisé : choisissez une méthode d’authentification, protégez les requêtes par signature, séparez les autorisations, restreignez l’accès réseau et organisez la surveillance de l’activité.
Accès
vérification de la connexion
Signature
protection des requêtes
Rôles
séparation des autorisations
Surveillance
historique de l’activité
Modèle de sécurité
Protection à chaque couche de l’API
01
Vérification de la connexion
Une clé API, un client OAuth 2.0, un JWT ou un compte de service distinct pour chaque service connecté.
02
Vérification des requêtes
Signature, heure de la requête, identifiant unique et protection contre la relecture.
03
Contrôle des autorisations
Rôles, autorisations, adresses IP, environnement et limites des opérations autorisées.
04
Historique et surveillance
Identifiant de requête, initiateur, résultat, alertes et procédure de réponse aux incidents.
Vue d’ensemble
La sécurité des API repose sur plusieurs couches de protection
Une clé API seule ne suffit pas. Un modèle fiable vérifie le service connecté, l’intégrité de la requête, l’autorisation d’exécuter l’opération, la source réseau autorisée et conserve l’historique de l’activité.
Intégrité des requêtes
La signature, l’heure de la requête et l’identifiant unique protègent la requête contre les modifications et la relecture.
Historique de l’activité
Le journal relie la requête, l’initiateur, l’opération effectuée, le résultat et les modifications ultérieures.
Authentification
Comment choisir une méthode d’authentification
Le choix dépend du type d’intégration, du nombre de connexions, de la durée des accès et du besoin de déléguer des autorisations précises.
Clés API
Adaptées aux échanges directs entre systèmes lorsque chaque client et chaque environnement dispose de sa propre clé.
OAuth 2.0
Adapté aux accès gérés avec autorisations limitées, durées courtes et révocation centralisée.
JWT
Transporte des informations sur le sujet, l’audience, l’expiration et les autorisations, avec vérification obligatoire de la signature.
Comptes de service
Permettent de séparer les processus automatisés, les autorisations système et la responsabilité de chaque intégration.
N’utilisez pas les mêmes identifiants pour plusieurs systèmes
Des clés et comptes distincts permettent de restreindre ou de désactiver une intégration sans interrompre les autres modules.
Signature des requêtes
Signature des requêtes et protection contre la relecture
Une signature confirme la source de la requête et aide à vérifier que les données n’ont pas été modifiées après l’envoi.
01
Construire les données de la requête
Dans l’ordre convenu, combiner la méthode HTTP, le chemin, les paramètres, l’heure de la requête, l’identifiant unique et la somme de contrôle du corps.
02
Créer la signature
Calculer une signature HMAC ou numérique à l’aide du secret ou de la clé privée attribuée.
03
Vérifier l’heure et l’unicité
Rejeter une requête expirée, un identifiant répété ou une opération déjà traitée.
04
Vérifier la signature de manière sécurisée
Reconstruire les données de la requête côté réception et comparer la signature calculée à la signature reçue.
Accès et rôles
Accès réseau, rôles et durée de validité des clés
Une fois la connexion vérifiée, l’API détermine la source de la requête, l’opération autorisée et la validité de l’accès dans l’environnement sélectionné.
Adresses IP autorisées
Liste des adresses et sous-réseaux autorisés pour l’API, les événements entrants et l’accès administratif.
Rôles
Séparation des autorisations opérateur, financières, administratives et système.
Autorisations
Ensemble minimal de droits pour la lecture, la modification des données, les versements, les rapports ou la gestion des joueurs.
Séparation des environnements
Les environnements de test et de production utilisent des points de terminaison, clés, événements entrants et jeux de données différents.
Expiration
Les accès temporaires et les jetons à durée de vie courte réduisent le risque d’utilisation d’identifiants obsolètes.
Rotation planifiée des clés
L’ancienne et la nouvelle clé peuvent rester toutes deux valides pendant une courte période de transition.
Limitation du débit
La fréquence des requêtes est limitée selon le client, l’opération, le rôle et le niveau de risque.
Révocation rapide
Une clé, un jeton, un rôle ou une adresse IP peut être désactivé sans modifier les autres intégrations.
Protection des données
Protection des données personnelles, de jeu et financières
L’API ne transfère que les informations nécessaires, tandis que les règles de stockage et d’affichage tiennent compte de la sensibilité des données.
Stockage et traitement
Chiffrer les données sensibles et les secrets au repos.
Masquer les jetons, données de paiement et données personnelles dans les interfaces.
Limiter les durées de conservation et supprimer de manière sécurisée les données opérationnelles.
Séparer les données de production et de test sans copier d’informations inutiles.
Transfert et minimisation
TLS pour toutes les connexions API, les événements entrants et les accès administratifs.
Transférer uniquement les champs nécessaires à l’opération concernée.
Ne pas placer de secrets, jetons ou données sensibles dans les URL de page ni dans les journaux standards.
Filtrer les données dans les exports, diagnostics et demandes d’assistance.
Surveillance et audit
Opérations sécurisées, audit et réponse aux incidents
Après le lancement, la sécurité est maintenue grâce à la surveillance des événements, à des revues régulières des autorisations, à la détection des anomalies et à une procédure claire de réponse aux incidents.
Journal d’activité
Initiateur, identifiant de requête, opération, heure, résultat, changement de statut et motif de la décision.
Surveillance des statuts
Erreurs de connexion, signatures invalides, hausse du taux d’échec, délais et activité inhabituelle d’un service connecté.
Alertes de sécurité
Alertes en cas de requêtes répétées, pics soudains d’activité, adresses IP non autorisées et actions critiques.
Réponse aux incidents
Restreindre les accès, révoquer les clés, préserver l’historique, restaurer les services et informer les équipes responsables.
Tests de sécurité
Jetons expirés, signatures invalides, autorisations non permises, requêtes rejouées et tentatives de contournement des restrictions.
Revue des accès
Examiner régulièrement les clés, comptes, rôles, adresses IP et autorisations inutilisées encore actifs.
Revue de sécurité avant production
L’accès de production est accordé après vérification des méthodes d’authentification, de la signature des requêtes, des autorisations, de la journalisation et du plan de réponse aux incidents.
Des clés d’accès distinctes ont été créées pour les environnements de test et de production.
La vérification des signatures, l’heure des requêtes et la protection contre la relecture ont été testées.
Les rôles et autorisations sont limités aux opérations réellement nécessaires.
Les adresses IP autorisées, TLS et les points de terminaison des événements entrants ont été confirmés.
Les secrets n’apparaissent pas dans les URL de page, les journaux standards ni le code côté client.
Les procédures de journalisation, d’alerte, de rotation des clés et de révocation des accès sont configurées.
Besoin de configurer un accès API sécurisé ?
Transmettez les informations sur les systèmes connectés, les utilisateurs, les environnements, les opérations critiques et les exigences de données. APIACE vous aidera à définir un modèle d’accès et de protection adapté.