Sécurité des API : pourquoi les interfaces de programmation sont la cible numéro 1 des cybercriminels

Des vulnérabilités API faciles à exploiter

Wallarm décrit des failles à la portée de presque tous les attaquants. Ainsi, 97 % des vulnérabilités API s’exploitent avec une seule requête. De plus, 98 % sont jugées faciles ou triviales à exploiter, et 99 % le sont à distance.

L’éditeur a aussi analysé 60 violations de données liées aux API rendues publiques en 2025. Elles relèvent le plus souvent de failles répétitives dans la gestion des identités et d’API laissées exposées, pas d’attaquants hors norme. Dans 59 % des cas, l’exploitation ne demande d’ailleurs aucune authentification.

Les plateformes et outils d’intelligence artificielle représentent 15 % de ces violations, à égalité avec l’édition logicielle, en tête des secteurs touchés. Pour la sécurité des API, une interface ouverte sans contrôle d’identité suffit donc à faire fuir une base entière.

L’IA multiplie les interfaces de programmation

Selon le même rapport, l’essor de l’IA générative et des agents IA multiplie le nombre d’API déployées. En 2025, Wallarm a recensé 2 185 vulnérabilités liées à l’IA. Parmi elles, 786 impliquaient aussi des API, soit 36 % de chevauchement.

Un agent IA se connecte en effet aux systèmes de l’entreprise et à des sources externes par des API. Wallarm prévient : si les modèles de sécurité sont mal définis, ces agents accèdent à des données sensibles ou déclenchent des actions non autorisées. Avant de brancher un agent, listez donc les API qu’il appelle et les droits qu’il reçoit.

Sécurité des API et obligations du RGPD

Une API qui expose des données personnelles engage le responsable de traitement. L’article 32 du RGPD exige des mesures techniques et organisationnelles adaptées au risque. Une API ouverte sans authentification sur des données clients constitue un manquement à cette obligation.

En cas de violation passée par une API compromise, l’article 33 impose la notification à la Commission nationale de l’informatique et des libertés (CNIL) sous 72 heures. L’article 34 peut ensuite imposer l’information des personnes concernées. Le retour d’expérience du CERT-FR sur les violations de données applicatives montre les erreurs qui reviennent le plus.

La directive NIS2 ajoute, pour les entités qu’elle vise, une gestion des risques qui couvre la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs et prestataires directs. La sécurité des API de vos prestataires entre donc dans ce périmètre.

Comment sécuriser vos API dès cette semaine

Commencez par un inventaire complet des API de votre organisation, y compris les « API fantômes » que personne n’a documentées. Une API absente de la liste ne sera jamais testée.

Imposez ensuite une authentification solide, par exemple OAuth 2.0 ou des clés API renouvelées régulièrement, avec un contrôle d’accès fondé sur le moindre privilège.

Surveillez enfin le trafic en temps réel pour repérer les requêtes massives, les tentatives d’énumération ou les accès à des points de terminaison sensibles. Appliquez l’OWASP API Security Top 10 et commandez des tests d’intrusion ciblés sur vos API. Dès que des données personnelles transitent par ces interfaces, inscrivez-les dans votre registre des traitements et dans vos analyses d’impact. Notre article sur la fiche 8 du référentiel CNIL et les violations de données applicatives complète ce contrôle.

Sources

Les chiffres du rapport API ThreatStats 2026 sont repris par SiliconANGLE dans Wallarm warns APIs are fueling AI-era breaches at machine speed.

Les statistiques sur les violations et les secteurs touchés figurent dans New Research Reveals APIs are the Single Most Exploited Attack Surface, publié par MarTech Series.

Les exigences sur la chaîne d’approvisionnement viennent de l’article 21 de la directive (UE) 2022/2555, dite NIS2.

Questions fréquentes