Qu’est-ce qu’une API ?

Reprenons l'exemple de Jennifer, elle conçoit son site web de telle sorte que lorsqu'il se charge, il génère automatiquement un appel d'API au service de suivi des autoroutes. La réponse est renvoyée au site web par ce service et lui permet d'afficher les dernières informations sur le trafic routier.

Pour fonctionner, les appels d'API doivent être formatés conformément aux exigences de l'API. Les exigences de l'API sont appelées schéma "." Le schéma décrit également les types de réponses qui sont fournies à chaque demande.

Supposons qu'un banlieusard utilise le site Web de Jennifer pour vérifier le trafic sur l'autoroute 192. Le site Web envoie un appel API pour fournir cette information - un message qui se lit comme suit : "Highway 192." Le serveur API du service de suivi des autoroutes reçoit ce message et répond en indiquant les temps de parcours sur l'autoroute 192. Imaginez le schéma de l'API de cette façon :

(Notez qu'il s'agit d'un exemple très simplifié - les demandes, réponses et schémas d'API du monde réel sont plus complexes).

Supposons maintenant que le site Web de Jennifer envoie une requête API pour "Highway ASDFGHJ." Cette requête n'est pas valide car elle n'est pas conforme au schéma de l'API, qui n'autorise que les noms réels des autoroutes. Le serveur ne sera pas en mesure de fournir une réponse utilisable à une telle demande.

Qu'est-ce qu'un point de terminaison d'API ?

Un endpoint est la fin d'un canal de communication. Un point de terminaison API est l'endroit d'où provient une réponse API.

Dans l'exemple, le client de la connexion API est le site Web de Jennifer, et le point de terminaison est le serveur qui héberge l'API. Les appels d'API de Jennifer doivent aller à une certaine URL (une URL est une adresse Web, comme www.cloudflare.com/learning) dont le serveur d'API est responsable afin d'obtenir une réponse.

Qu'est-ce que l'intégration API ?

L'intégration d'API est la combinaison de deux ou plusieurs applications à l'aide d'API. L'intégration d'API permet à une application de bénéficier des capacités d'une autre application, tout comme la combinaison d'une équipe de vente et d'une équipe de marketing dans un même bureau permet à ces deux équipes de travailler ensemble et de bénéficier de leurs efforts respectifs. Les intégrations d'API sont également couramment utilisées pour synchroniser les données entre deux applications ou bases de données.

Qu'est-ce qu'une API web ?

Tout ce qui implique du code informatique peut avoir une API, des systèmes d'exploitation aux bibliothèques logicielles. Une API web est spécifiquement destinée à être utilisée par des applications web auxquelles on accède par Internet.

Les API Web sont incroyablement importantes pour l'Internet moderne. Presque toutes les applications orientées vers l'utilisateur s'appuient sur les API pour fonctionner (pas seulement le site Web de Jennifer !). Des philosophies entières de développement de logiciels reposent sur l'utilisation d'API - l'une de ces philosophies est JAMstack, JAM signifiant JavaScript, API, markup. Un autre exemple est l'architecture de microservices , qui utilise les API afin d'appeler les différentes fonctions qui composent une application. Même les applications construites sans ces approches reposent généralement sur des API.

Que sont les API SOAP et les API REST ?

Les API SOAP et les API REST décrivent différentes catégories d'API.

SOAP (Simple Object Access Protocol) est un type de protocole . Les API SOAP sont des API qui utilisent uniquement le protocole SOAP.

REST (REpresentational State Transfer) est un style architectural pour les services web. Une API REST est toute API construite à l'aide de l'architecture REST. Contrairement aux API SOAP, les API REST fonctionnent avec n'importe quel protocole. La plupart des API actuelles sont des API REST.

Les API présentent-elles des risques pour la sécurité ?

Tout comme le fait d'autoriser une personne à utiliser une application comporte le risque que cette personne abuse de l'application, une API comporte le risque qu'un client API abuse du service. En outre, les appels d'API Web transitent par Internet et peuvent être interceptés, usurpés ou modifiés, comme tout autre transfert de données sur un réseau.

La sécurité des API consiste à protéger les API contre les attaques et les utilisations abusives. Compte tenu de l'importance des API dans l'Internet moderne, la sécurité des API constitue un élément essentiel de la sécurité des applications web. Parmi les mesures fondamentales de sécurité des API figurent :

• Limitation du débit: Les clients qui effectuent trop de demandes d'API peuvent ralentir ou faire planter l'API pour les autres clients. La limitation du débit limite le nombre de demandes d'API pouvant provenir d'un point de terminaison d'API donné dans un certain laps de temps.
• Protection contre les DDoS: Comme la limitation du débit, la protection contre les dénis de service distribués (DDoS) arrête les attaques DDoS , qui visent à épuiser ou à submerger une API par un grand nombre de requêtes envoyées en une seule fois.
• Authentification: Il est important d'authentifier les points de terminaison et les clients des API afin de s'assurer que les demandes d'API proviennent de sources légitimes et non d'attaquants. Mutual TLS (mTLS) est l'une des formes les plus efficaces d'authentification des API.
• Validation du schéma : Si une demande d'API n'est pas conforme au schéma de l'API, cette dernière peut réagir de manière inattendue - en révélant des données confidentielles, par exemple. La validation du schéma permet à l'API de rejeter de telles demandes.

Cloudflare API Gateway inclut ces fonctions de sécurité et d'autres qui assurent une protection contre les menaces pesant sur les API. Pour en savoir plus sur la sécurité des API, voir Qu'est-ce que la sécurité des API ?