Sécurité des API
Sécurisez les API grâce à l'authentification, à la limitation du débit, à la validation des entrées et à la surveillance.
Sécurité des API est défini par les résultats NIST CSF 2.0 PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, PCI DSS et 800-53. Éditorial Mis en correspondance de manière éditoriale dans CIS v8.1. Seulement faiblement liés dans CMMC, HIPAA et NIS2. Aucune correspondance dans nos données Aucune correspondance dans nos données pour SOC 2, GDPR, Essential Eight, DORA, CPS 234 et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | Définition du sujet | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | Correspondance | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | Éditorial | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence SOC 2 n'est mise en correspondance avec ce thème dans nos données. |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | Correspondance | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.PS-06, PR.AA-03, PR.IR-01) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | Correspondance | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.PS-06, PR.AA-03, PR.IR-01) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 6.211.611.76.76.8 | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.PS-06, PR.AA-03, PR.IR-01) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence DORA n'est mise en correspondance avec ce thème dans nos données. |
| CPS 234 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CPS 234 n'est mise en correspondance avec ce thème dans nos données. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Sécurité des API
La sécurité des API protège les interfaces de programmation applicatives contre les abus, les accès non autorisés et l'exposition des données, alors que les organisations s'appuient de plus en plus sur les API pour l'intégration de systèmes, les applications mobiles et la connectivité avec leurs partenaires. Parmi les contrôles clés figurent la mise en œuvre de l'authentification OAuth 2.0 ou par clé API, l'application de limites de débit et de mécanismes de régulation pour prévenir les abus, la validation de toutes les entrées afin d'empêcher les attaques par injection, ainsi que la journalisation des appels d'API à des fins de surveillance et d'investigation numérique. Les organisations devraient tenir à jour un inventaire complet de toutes leurs API, réaliser régulièrement des tests de sécurité des API alignés sur le OWASP API Security Top 10, et déployer des passerelles API qui centralisent l'authentification, l'autorisation et la gestion du trafic.