Les attaques par API sont devenues le vecteur numéro un de fuite de données en 2026

8 juillet 2026. Le Wallarm API ThreatStats Report 2026 révèle que 43 % des ajouts au catalogue CISA Known Exploited Vulnerabilities en 2025 étaient liés à des APIs. 97 % de ces vulnérabilités sont exploitables en une seule requête. 52 % des brèches API analysées proviennent d’une authentification cassée. Et 30 à 40 % du parc API d’une organisation est composé de shadow APIs — des endpoints non documentés que personne ne surveille.

L’API n’est plus un tuyau technique entre deux services. C’est la porte d’entrée principale des attaquants — et elle est restée ouverte.

Les chiffres qui ne mentent pas

Le Salt Security State of API Security Report 2025 établit que 99 % des organisations ont rencontré un problème de sécurité API dans les douze derniers mois. Parmi elles, 34 % ont subi une exposition de données sensibles ou un incident de confidentialité. 55 % ont ralenti le déploiement d’une application à cause de préoccupations liées à la sécurité des APIs.

Le volume d’attaques ne cesse de croître. Akamai a enregistré une augmentation de 113 % du nombre quotidien moyen d’attaques API par organisation en 2025 — passant de 121 à 258 attaques par jour. Imperva a recensé plus de 40 000 incidents API au premier semestre 2025, soit plus de 220 par jour.

Et la menace mute. Les attaques comportementales — exploitation de flux métier non autorisés — représentaient 61 % des attaques API en 2025, contre 30 % en 2024. Les attaquants ne cassent plus les portes blindées : ils utilisent les clés légitimes pour ouvrir toutes les autres serrures.

Le Wallarm 2026 ThreatStats Report confirme la tendance : 59 % des vulnérabilités API ne nécessitent aucune authentification pour être exploitées. 98 % sont classées comme faciles ou triviales à exploiter. Les défenseurs ne perdent pas face au génie des attaquants — ils perdent face au volume.

Shadow APIs : la moitié de votre surface d’attaque est invisible

Le problème le plus pernicieux n’est pas technique — il est organisationnel. Les audits de sécurité montrent que 30 à 40 % du parc API réel d’une organisation est composé d’APIs non documentées (shadow APIs) ou d’APIs dépréciées mais toujours actives (zombie APIs).

Seulement 15 % des organisations déclarent avoir une confiance élevée dans l’exactitude de leur inventaire d’APIs. 34 % n’ont aucune visibilité sur l’exposition de données sensibles via leurs APIs. Et 20 % seulement ont mis en place une surveillance continue.

Le résultat est prévisible. Une API de staging déployée il y a six mois, laissée ouverte sans authentification, expose des données de production. Un endpoint déprécié d’une version antérieure de l’application répond encore aux requêtes — sans rate limiting, sans validation de schéma, sans journalisation. Les attaquants scannent ces endpoints en quelques minutes avec des outils automatisés.

L’équation est simple : vous ne pouvez pas sécuriser ce que vous ne savez pas que vous avez.

Les nouvelles menaces de 2026 : injection de prompts et mass assignment GraphQL

L’OWASP API Security Top 10 (édition 2023) reste le cadre de référence, mais 2026 apporte deux nouvelles classes de menaces qui ne figuraient pas dans le paysage il y a trois ans.

L’injection de prompts via API. Avec l’explosion des APIs exposant des modèles de langage — LLM Gateway, pipelines RAG, agents MCP — l’injection de prompts est devenue un vecteur d’attaque API à part entière. Le Wallarm 2026 Report documente une croissance de 398 % des vulnérabilités liées à l’IA en un an, passant de 439 CVE en 2024 à 2 185 en 2025. Une requête API apparemment normale vers un endpoint /chat ou /summarize peut contenir un prompt conçu pour exfiltrer des données internes, contourner des restrictions ou manipuler le comportement du modèle en aval.

Le mass assignment via GraphQL. La flexibilité de GraphQL — qui permet au client de spécifier exactement les champs qu’il souhaite recevoir — devient une arme quand le resolver côté serveur ne filtre pas les champs que le client est autorisé à modifier. Un attaquant peut injecter des champs non prévus (role: "admin", isPremium: true) dans une mutation GraphQL et les voir acceptés par le backend. Le problème n’est pas nouveau — l’OWASP le classe sous Broken Object Property Level Authorization — mais l’adoption massive de GraphQL en 2025-2026 en fait un vecteur prioritaire.

Le WAF est mort, vive l’API gateway

Face à ces menaces, le WAF (Web Application Firewall) traditionnel ne suffit plus — et c’est un euphémisme.

Un WAF classique inspecte le trafic HTTP au niveau de la couche 7 : il bloque les signatures d’attaque connues, détecte les injections SQL et les XSS, applique des règles de rate limiting. Mais il ne comprend pas la structure d’une API. Il ne sait pas qu’un endpoint /users/1234/orders ne devrait jamais retourner les commandes de l’utilisateur 5678 si l’appelant est 1234. Il ne peut pas valider qu’une mutation GraphQL ne contient que les champs autorisés par le schéma. Il ne détecte pas une shadow API qui a été déployée hors processus.

La parade de 2026 s’appelle API gateway avec validation de schéma. Une API gateway — Kong, APISIX, Tyk, Envoy avec un contrôleur OpenAPI — opère à un niveau supérieur :

• Validation de schéma : chaque requête et réponse est validée contre le contrat OpenAPI 3.x de l’API. Une requête qui ne respecte pas le schéma est rejetée avant d’atteindre le backend.
• Autorisation au niveau objet : l’API gateway vérifie que l’utilisateur authentifié a le droit d’accéder à l’objet demandé (BOLA/BFLA).
• Découverte automatique : les API gateways modernes cartographient le trafic API en temps réel et détectent les endpoints non documentés.
• Protection contre l’injection de prompts : des règles spécifiques filtrent les requêtes vers les endpoints LLM et bloquent les motifs d’injection connus.
• Rate limiting contextuel : au lieu de limiter par IP, la gateway limite par utilisateur, par endpoint et par scope OAuth.

Le marché l’a compris. Selon Mordor Intelligence, le marché de la sécurité API est passé de 1,25 milliard de dollars en 2025 à une projection de 4,60 milliards d’ici 2030, avec un TCAC de 29,66 %. Les organisations ne dépensent plus pour « ajouter de la sécurité » — elles dépensent pour remplacer une couche de défense devenue structurellement inadéquate.

Verdict

Si votre organisation expose des APIs — et c’est le cas de toute organisation qui utilise un frontend JavaScript, une application mobile ou une intégration SaaS — et que votre défense repose encore sur un WAF sans validation de schéma API, vous êtes en retard d’une génération sur les attaquants.

La bonne nouvelle, c’est que l’écart se comble en trois actions concrètes :

1. Inventaire exhaustif. Cartographiez toutes vos APIs — production, staging, dépréciées, partenaires — avec un outil de découverte (API gateway ou scanner dédié). Vous ne pouvez pas sécuriser un endpoint dont vous ignorez l’existence.

2. API gateway avec validation OpenAPI. Déployez une gateway devant chaque API exposée et appliquez une validation stricte du schéma. Rejetez toute requête qui ne correspond pas au contrat. Pour les APIs GraphQL, activez la limitation de profondeur de requête et la validation des champs modifiables.

3. Rotation continue des secrets. 95 % des attaques API proviennent de sources authentifiées. Les tokens volés par des infostealers ou extraits de logs sont le carburant de la majorité des incidents. Imposez une rotation automatique des clés API, des tokens OAuth et des secrets de service — et révoquez immédiatement tout token exposé.

Le coût de ces trois actions pour une organisation de 200 à 2 000 personnes est de l’ordre de quelques semaines de configuration et d’un abonnement à une API gateway. Le coût d’une brèche API — 4,44 millions de dollars en moyenne selon l’IBM Cost of a Data Breach Report 2025 — est d’un autre ordre de grandeur.

Votre API est votre nouveau firewall. Il est temps de le configurer.

Références

• Wallarm 2026 API ThreatStats Report, Wallarm, 2026
• Salt Security State of API Security Report Q1 2025, Salt Security, 2025
• API Security Statistics 2026: 55+ Key Facts & Data, AppSec Santa, avril 2026
• Akamai State of the Internet 2025 — API Attacks, Akamai, 2025
• Imperva/Thales — 40,000 API Incidents in H1 2025, Imperva, 2025
• OWASP API Security Top 10 2023, OWASP, 2023
• IBM Cost of a Data Breach Report 2025, IBM, 2025
• API Security Market Report, Mordor Intelligence, 2025