A l'issue de cette formation, vous serez capable de :

• Décrire les bonnes pratiques de conception, de développement et d'architecture des API REST (dans les 4 principaux langages : Python, PHP, Java, .NET)
• Concevoir, déployer et superviser des API
• Identifier les menaces auxquelles s'exposent vos API
• Distinguer les vulnérabilités les plus fréquentes
• Repérer les points faibles d'une API puis la protéger.

Jour 1 - Matin

Introduction aux API

• Evolution des applications et concept d'API
• REST vs SOAP
• Requêter vers une API

Conventions et bonnes pratiques

• Les conventions d'API
• Bonnes pratiques de développement
• Design Patterns

Exemple de travaux pratiques (à titre indicatif)

• Création d'une API météo

Jour 1 - Après-midi

Les outils

• OpenAPI
• Swagger
• Postman
• Sandboxing
• JSON Generator / JSON Server

Exemples de travaux pratiques (à titre indicatif)

• Test et validation d'implémentation d'une API

Jour 2 - Matin

Rappels sur la sécurité

• Les menaces
• Les grands principes de la sécurité informatique
• Le top 10 de l'OWASP
• Evolution des problématiques de sécurité liées aux API

Jour 2 - Après-midi

La sécurité Web appliquée aux API

• Problématiques d'authentification
• Manipulation d'identifiants et d'autorisations d'objets
• Déni de service et consommation de ressources
• Exploitation des "business flows"
• SSRF (Server Side Request Forgery)
• Mauvaise configuration de sécurité
• Mauvaise gestion d'inventaire
• Problématiques de confiance des API tierces
• Bonnes pratiques de développement

Exemples de travaux pratiques (à titre indicatif)

• Etude et audit d'une API vulnérable

Jour 3 - Matin

Authentification et autorisation

• Authentification avec OAuth2 et OpenID Connect
• Sécurité côté serveur
• Gestion des permissions et des rôles
• Journalisation et supervision

Jour 3 - Après-midi

Middleware et JWT (JSON Web Token)

• Rappels sur la cryptographie
• Principes JWT
• Risques et vulnérabilités intrinsèques

Exemples de travaux pratiques (à titre indicatif)

• Conception et création d'une API sécurisée