API REST
Le contrat lingua franca du web : ressources, verbes HTTP, statuts. Bien la designer, c'est diviser les bugs par deux.
Principes
- Ressources nommées (
/users/42), verbes HTTP pour les actions. - Statuts honnêtes : 200/201, 400, 401, 403, 404, 429, 500 — jamais 200 pour une erreur.
- Versionner (
/v1), paginer, limiter (rate limit). - Auth : OAuth2/OIDC, scopes minimaux, tokens courts.
Top failles d'API
Selon l'OWASP API : BOLA (accès à l'objet d'autrui via /orders/1234), auth cassée, exposition massive, rate-limit absent. Testez chaque endpoint en tant qu'un autre utilisateur.