REST API, bonnes pratiques et sécurité Training

Introduction aux APIs ReST

• L’écosystème moderne.
• Roy Thomas FIELDING : père du ReST.
• Richardson’s maturity model ou Web Service Maturity Heuristic.
• H.A.T.E.O.A.S., Resource Linking and Semantic Web.

Conventions et bonnes pratiques

• Pragmatisme, idéologie et ReSTafarians.
• Les conventions.
• Les différentes approches de versioning.
• Tips, tricks et bonnes pratiques de conception et de développement.
• Les “standards” ou presque.

Travaux pratiques
Conception d’une API ReST.

La boîte à outils

• Conception d’APIs ReST avec OpenAPI et Swagger.
• Debug et testing avec Postman.
• Sandbox. JSON Generator. JSON Server.

Travaux pratiques
Spécification d’une API ReST avec Swagger. Test d’une API ReST avec Postman. Implémentation d’une API ReST.

Rappels sur la sécurité

• Menaces et impacts potentiels.
• Les 4 principes de la sécurité informatique.
• Présentation de l'OWASP TOP 10.

Authentification et autorisation

• Sécurité de l’authentification. Cookies are evil.
• CORS et CSRF. Anti-farming et rate-limiting (ou throttling).
• Autorisation et gestion des permissions.
• Les différents niveaux de granularité des mécanismes de gestion de permissions.
• Role-Based Access Control versus Resource-Based Access Control.
• OAuth2 et OpenID Connect.

Travaux pratiques
Recherche et exploitation de vulnérabilités d’authentification et d’autorisation avec Websheep.

Autres vulnérabilités

• Canonicalization, Escaping et Sanitization.
• Injection (code, SQL, NoSQL, données...).
• Data ou cache Poisoning. ReDoS.

Travaux pratiques
Recherche et exploitation de vulnérabilités avec Websheep.

J.W.T.

• Rappels sur la cryptographie.
• J.O.S.E. : J.W.K., J.W.S., J.W.E et J.W.T.
• J.W.T. : fonctionnement, risques associés et bonnes pratiques. Vulnérabilités J.W.T.

Travaux pratiques
Recherche et exploitation de vulnérabilités avec Websheep.

API Management

• Intérêts et fonctionnalités des solutions d’API Management.
• API management dans le Cloud avec Apigee.
• API management On Premise avec Kong.