TL;DR
Les vulnérabilités des API dominent le classement OWASP pour une bonne raison — les API exposent directement votre modèle de données. Cette liste couvre les dix catégories qui représentent la majorité des résultats exploitables : attaques JWT, IDOR/BOLA, assignation de masse, injection, limitation de débit, CORS et vecteurs spécifiques à GraphQL.
alg:none pour JWT reste exploitable dans les bibliothèques non patchées. Appliquez toujours une liste d'algorithmes autorisés côté serveur — ne faites jamais confiance à l'en-tête alg transmis par le client.
RS256 ou HS256 uniquement — jamais none)exp) est validée ; les tokens ne sont pas acceptés indéfinimentstate pour prévenir le CSRFredirect_uri OAuth2 est validé contre une liste d'autorisation stricte (pas de redirection ouverte)L'IDOR est le résultat d'API critique le plus fréquent. Si votre point d'entrée accepte un paramètre d'identifiant et renvoie des données, il doit vérifier que l'appelant est bien propriétaire de cette ressource — à chaque requête, à chaque couche.
$where, $regex), ElasticSearch (_search) et Redis EVALexec, spawn, system)FEATURE_SECURE_PROCESSING)L'assignation de masse est fréquemment introduite silencieusement lors de l'ajout de nouveaux champs à un modèle. Une liste d'autorisation des champs acceptés doit être appliquée au niveau de la désérialisation, pas seulement au niveau de la base de données.
role, is_admin, credits ne doivent pas être modifiables par les clients)role, verified, balance, permissions) ne sont jamais mis à jour depuis un JSON fourni par le clientAccess-Control-Allow-Origin n'est pas défini sur * pour les points d'entrée utilisant des cookies ou des en-têtes d'autorisationnull, pas de wildcard avec les credentials activés)