Les API REST et la sécurité des applications

Name: Les API REST et la sécurité des applications
Author: Josh Guardino

Découvrez comment sécuriser et protéger les API REST

Preview the first lesson free — get full access to all 3 lessons.

Cours : à la demande

Bonjour, je m'appelle Josh Guardino et dans ces leçons, vous en apprendrez plus sur la sécurité de l'API REST. Commençons par explorer les clés API et la gestion des accès. Il existe plusieurs façons de sécuriser une API REST. Bien que certaines API REST soient ouvertes et accessible à tous, la grande majorité des API REST avoir une sorte de sécurité régir l'authentification et éventuellement l'autorisation pour les clients de l'API. Un modèle populaire consiste à utiliser des clés API. Une clé API est simplement un ID système généré aléatoirement avec un mot de passe correspondant mais l'ID s'appelle une clé API et le mot de passe est normalement appelé un secret. Les fournisseurs d'API qui prennent en charge les clés API fourniront un mécanisme par lequel quelqu'un peut demander une clé API. Ce formulaire de demande peut être disponible au grand public via quelque chose comme data.gov, le centre d'échange de données du gouvernement américain mais souvent pour des services payants, Les clés API peuvent uniquement être demandées par les clients enregistrés et payants. Les formulaires d'inscription à la clé API offrent une excellente opportunité recueillir diverses informations sur la façon dont la clé sera utilisée, comment contacter les propriétaires de la clé et tout autre type d'informations d'enregistrement qui est jugé nécessaire par les propriétaires de l'API. Par exemple, regardons la très populaire API Spotify for Developers. Après avoir créé un compte, Je peux créer une application qui serait un client de l'API et cette application reçoit automatiquement un ID client ou clé API et un secret client, qui est comme un mot de passe. Souvent, lorsque les clés API sont attribuées pour la première fois, le secret n'est montré qu'une seule fois. Si le secret est perdu, la clé devra être régénérée. Cependant, Spotify permet la rotation du secret sans avoir à modifier l'ID client ou la clé API. Avec la clé API, un client de l'API Spotify peut alors créer une requête pour recevoir un jeton d'accès via un processus appelé OAuth. Au Département des véhicules à moteur API, J'ai ajouté un contrôle d'authentification à tous les points de terminaison de l'API qui attend une clé API et un secret à passer dans les en-têtes de requête. Et il est standard d'utiliser la clé x-api et les noms d'en-tête secrets pour stocker ces valeurs. Au point de terminaison v1/drivers post, ajoutons les en-têtes x-api-key et x-api-secret et nous les mettrons tous les deux à une valeur de test qui devrait faire échouer la demande d'autorisation car test et test ne sont pas une paire clé et secret valide et un code d'état non autorisé 401 est renvoyé. J'ai également créé un tableau JSON dans l'application avec plusieurs clés et secrets générés aléatoirement. Et comme vous pouvez le voir, chaque clé et secret a également une adresse e-mail d'utilisateur et d'autres domaines importants seraient normalement conservés avec la clé et le secret, comme le nom du client et éventuellement une description de l'utilisation prévue de l'API par le client. Mais ici un simple email utilisateur nous permettra pour remonter la clé à un client spécifique. Sélectionnons l'une des clés et revenez à notre v1/drivers post endpoint et ajoutez-le en tant qu'en-tête x-api-key. Et choisissons un secret et ajoutez-le comme en-tête x-api-secret. J'ai x-api-key en minuscules et x-api-secret en majuscule juste pour démontrer que le cas est ignoré, donc ces deux fonctionneront très bien. Et maintenant, lorsque nous exécutons cette demande, l'autorisation réussit et un 201 est retourné. Une dernière remarque sur la clé et le secret dans les en-têtes. C'est la manière préférée d'envoyer la clé et secret au serveur parce que les ajouter à l'URL car les paramètres de requête les provoqueraient à afficher en texte clair dans les journaux d'accès au serveur qui répertorient les URL complètes des requêtes entrantes. Et placer les valeurs dans le corps de la demande fonctionnerait pour les demandes de publication mais les requêtes get, par exemple, n'ont pas de corps. Il faudrait donc utiliser un mécanisme alternatif pour obtenir des requêtes provoquant une incohérence dans la manière dans lequel les paramètres d'authentification sont envoyés au serveur. Les en-têtes sont donc sécurisés et lieu standardisé où ce type d'information peut être transmis. Merci d'avoir regardé. Restez à l'écoute pour la prochaine leçon où je vais vous montrer comment utiliser le protocole OAuth pour la sécurité de l'API REST.

Débutant Fournisseur : Josh Guardino 3 leçons · 15m en Arabe, Allemand, Anglais, Espagnol, Français, Portugais, Chinese

Description du cours

La sécurité ne doit jamais être une réflexion après coup, en particulier lorsqu’il s’agit de ressources réseau; et les API REST ne font pas exception. Cela implique plus que la simple protection de l’information : il s’agit d’une approche globale qui implique également la gestion des clients et la protection de la stabilité d’un service API.

L’utilisation de clés API et de secrets est un modèle très courant qui accorde des capacités d’authentification de type utilisateur/mot de passe aux clients enregistrés. Dans ces leçons, vous apprendrez comment les clés API et les secrets sont générés et envoyés aux services API RESTful pour y accéder, ainsi que les codes d’état HTTP de la série 400 qui les accompagnent lorsque les clés et les secrets ne sont pas reconnus.

Le protocole OAuth est devenu le mécanisme standard pour l’autorisation du client API, et vous apprendrez les bases d’OAuth et comment les demandes d’authentification de base peuvent entraîner des jetons d’accès de porteur qui peuvent être appliqués à plusieurs niveaux de portée. Vous apprendrez également l’importance de la limitation du débit et pourquoi il est essentiel pour les API REST de suivre et de restreindre le trafic entrant. La limitation du débit est nécessaire pour rester dans les limites de capacité et également pour détourner les attaques DDoS, qui cherchent à désactiver les services en envoyant des quantités massives de trafic.

Ce que vous allez apprendre

Identifier les mécanismes de sécurité courants utilisés pour protéger les API REST
Générer et utiliser des clés et des secrets d'API pour accéder à des API protégées
Émettre des requêtes d'autorisation OAuth pour un accès ciblé aux API
Appliquer des jetons d'accès porteur (bearer access tokens) obtenus à partir de requêtes d'authentification de base
Interpréter les codes d'état HTTP de la série 400 retournés lorsque les clés et les secrets ne sont pas reconnus
Mettre en œuvre la limitation du débit (rate limiting) pour suivre et restreindre le trafic API entrant

Points clés à retenir

La sécurité des API est une approche globale qui implique la protection des informations, la gestion des clients et la protection de la stabilité d'un service d'API.
Les clés et les secrets d'API accordent des capacités d'authentification de type utilisateur/mot de passe aux clients enregistrés accédant aux services d'API RESTful.
OAuth est devenu le mécanisme standard pour l'autorisation des clients d'API, où les requêtes d'authentification de base peuvent aboutir à des jetons d'accès porteur (bearer access tokens) appliqués à de nombreux niveaux de portées.
La limitation du débit est essentielle pour que les API REST restent dans les limites de leur capacité et pour dévier les attaques DDoS qui envoient des quantités massives de trafic afin de désactiver les services.
Les clés et secrets non reconnus se traduisent par des codes d'état HTTP de la série 400.

Foire aux questions

Que couvre ce cours ?

Il couvre la sécurité des API REST, y compris la façon dont les clés et secrets d'API sont générés et envoyés pour obtenir l'accès, les bases de l'autorisation OAuth et des jetons d'accès porteur, ainsi que l'importance de la limitation du débit pour contrôler le trafic et dévier les attaques DDoS.

Que serai-je capable de faire après avoir suivi ce cours ?

Vous serez en mesure d'identifier les mécanismes de sécurité courants utilisés pour les API REST, d'utiliser des clés et des secrets pour accéder à des API protégées, et d'émettre des requêtes d'autorisation OAuth pour un accès ciblé (scoped access) aux API.

Quelles leçons sont incluses ?

Le cours comprend trois leçons : Les clés d'API et la gestion des accès ; L'utilisation d'OAuth pour l'authentification ; et L'utilisation de la limitation de débit (Rate Limiting) pour contrôler le trafic.

Quelles compétences ce cours aide-t-il à développer ?

Il permet de développer des compétences en conception d'API, en gestion d'API, en tests d'API, en interface de programmation d'applications (API), en développement d'API REST et en API RESTful.

Pourquoi la limitation de débit est-elle importante pour les API REST ?

La limitation de débit est nécessaire pour rester dans les limites de capacité et pour détourner les attaques DDoS, qui cherchent à désactiver les services en envoyant d'énormes quantités de trafic.