10 meilleurs outils de test de sécurité API (2026)

Les 10 meilleurs outils de test de sécurité API en un coup d'oeil

Les violations d'API découlent rarement d'exploits exotiques. Elles proviennent d'un endpoint qui a renvoyé les données de l'utilisateur 4321 à l'utilisateur 1234 parce que personne n'a jamais testé l'autorisation au niveau des objets. Les outils ci-dessous attaquent tous ce problème, mais ils se répartissent en deux catégories réellement différentes, et la plupart des comparatifs font comme si ce n'était pas le cas. Corrigeons cela d'abord.

Scanners DAST face à la régression de sécurité : sachez ce que vous achetez

Le DAST (dynamic application security testing, test de sécurité dynamique des applications) consiste à tester une application en cours d'exécution depuis l'extérieur, comme le ferait un attaquant : envoyer des requêtes, observer les réponses, sonder les faiblesses. Il s'oppose au SAST, qui lit votre code source sans l'exécuter. La plupart des outils de cette liste sont des outils DAST sous une forme ou une autre.

Mais au sein du DAST, il existe une distinction qui détermine la manière dont vous exploitez réellement l'outil :

• Les scanners (ZAP, Burp, Escape, StackHawk, Beagle Security, APIsec, Akto) effectuent un balayage de votre application ou de votre spec et produisent un rapport de constats. Le balayage peut être planifié ou intégré au CI, mais l'unité de travail reste le scan. Points forts : largeur des classes de vulnérabilités connues, rapports adaptés à la conformité. Faiblesse : le scanner ne connaît pas votre logique métier. Il ne peut pas savoir qu'un utilisateur ordinaire lisant la facture d'un administrateur constitue une violation, car rien dans la réponse HTTP ne le dit.

• La régression de sécurité traite les vérifications de sécurité comme des tests fonctionnels : des scénarios spécifiques et nommés (« l'utilisateur B ne doit pas pouvoir faire un GET /orders/{commande-de-l-utilisateur-A} ») qui s'exécutent à chaque cycle de régression, échouent bruyamment lorsque le comportement régresse, et vivent aux côtés de votre suite fonctionnelle. C'est ainsi que les failles d'autorisation (BOLA, IDOR) sont réellement détectées, car ces failles relèvent par définition de la logique métier. Qodex est bâti autour de ce modèle.

La réponse honnête pour la plupart des équipes est d'adopter un outil de chaque type : un scanner pour la largeur sur les classes de vulnérabilités connues, et la régression de sécurité pour la logique d'autorisation que les scanners ne peuvent structurellement pas juger. Le Top 10 de la sécurité des API de l'OWASP classe le broken object level authorization (BOLA) comme le risque API numéro un, et le BOLA est précisément la classe pour laquelle l'analyse générique est la plus faible.

Les 10 meilleurs outils de test de sécurité API en 2026

1. Qodex

Qodex est un agent de test agentique qui traite la sécurité API comme une composante de la régression, et non comme un événement annuel distinct. L'agent apprend votre API à partir de votre spec OpenAPI, de votre collection Postman ou d'une exploration en direct, puis génère des scénarios de sécurité aux côtés des scénarios fonctionnels : sondes IDOR et BOLA utilisant plusieurs profils d'authentification par environnement (admin, utilisateur ordinaire, lecteur), vérifications de contournement d'authentification, charges d'injection et couverture du Top 10 des API de l'OWASP. L'ensemble de la suite se rejoue de façon déterministe à la demande, selon un calendrier, ou depuis des webhooks CI.

Trois choix de conception comptent ici :

• Sémantique inversée : pour les scénarios de sécurité, réussir signifie que l'attaque a été bloquée et échouer signifie que vous êtes vulnérable. L'agent ne « corrigera » pas un test de sécurité en échec en assouplissant l'assertion, ce qui est exactement le mode de défaillance que vous obtenez quand un outillage IA générique touche aux vérifications de sécurité.

• Test d'autorisation multi-rôles : parce que les environnements portent plusieurs profils d'authentification, l'agent peut tenter systématiquement des accès inter-tenants et des escalades de rôle, la classe BOLA/IDOR qui domine le Top 10 des API de l'OWASP et que les scanners non authentifiés ne peuvent pas tester de façon significative.

• Constats avec preuves : les échecs deviennent des constats assortis d'une sévérité, d'étapes de reproduction et de preuves capturées, dédupliqués par rapport aux constats ouverts. Les constats de sécurité élevés et critiques exigent des preuves capturées avant d'être enregistrés, ce qui écarte les fausses alertes de la file.

Tarif : offre gratuite sans carte bancaire ; les formules payantes sont cadrées avec l'équipe commerciale (voir tarification).

Avantages : tests de sécurité et fonctionnels depuis un seul agent et une seule suite ; régression de sécurité par déploiement à coût LLM marginal nul (les scénarios se rejouent de façon déterministe) ; scripts de test standard, exportables ; triage des échecs intégré.

Inconvénients : ce n'est pas un scanner privilégiant la largeur ; il ne fera pas l'inventaire d'un millier d'API inconnues à travers votre organisation (associez-le à un outil de découverte comme Akto pour cela) ; produit plus jeune que les acteurs établis de cette liste.

Idéal pour : les équipes produit et plateforme qui veulent des vérifications BOLA, IDOR et de contournement d'authentification exécutées à chaque régression au lieu d'attendre le pentest annuel. Commencez gratuitement et pointez-le vers une API de staging. Plus de détails sur l'approche figurent sur notre page test de sécurité API.

2. Burp Suite

Burp Suite de PortSwigger est l'outil que les professionnels de la sécurité utilisent en premier. L'édition Professional est une boîte à outils pratique : proxy d'interception, Repeater pour composer des requêtes, Intruder pour les charges d'attaque automatisées, analyse d'API authentifiée et écosystème d'extensions BApp. L'édition Enterprise de Burp Suite transforme le scanner en DAST planifié et multi-sites. Pour du test API manuel et approfondi (exploits chaînés, abus de logique métier, analyse de tokens), rien n'égale la profondeur de Burp.

Tarif (vérifié en juin 2026) : Burp Suite Community est gratuit avec les outils manuels essentiels ; Professional coûte 499 $ par utilisateur et par an ; l'édition Enterprise est sur devis.

Avantages : profondeur standard de l'industrie pour le test manuel ; immense écosystème d'extensions ; l'outil de facto des pentesteurs professionnels.

Inconvénients : Professional est un outil piloté par l'humain, donc la couverture évolue avec les heures de travail qualifiées, pas avec la puissance de calcul ; il n'est pas conçu pour une régression continue par déploiement ; les workflows spécifiques aux API demandent plus de configuration qu'avec des outils nativement API. Nous comparons le champ plus large dans notre guide alternatives à Burp Suite.

Idéal pour : les ingénieurs sécurité et pentesteurs qui font du test API manuel expert.

3. OWASP ZAP

ZAP (Zed Attack Proxy, désormais géré sous le nom « ZAP by Checkmarx ») est le scanner web et API open source le plus utilisé au monde. Vous obtenez un proxy d'interception, une analyse active et passive, l'import OpenAPI et GraphQL, ainsi qu'un solide framework d'automatisation pour les pipelines CI, le tout gratuitement. Pour les équipes sans budget sécurité, ZAP dans le pipeline vaut infiniment mieux que rien, ce qui est la situation de la plupart des équipes actuellement.

Tarif (vérifié en juin 2026) : gratuit et open source.

Avantages : gratuit ; scriptable ; communauté active ; histoire d'automatisation CI raisonnable.

Inconvénients : constats plus bruyants que les scanners commerciaux, donc le triage vous revient ; le test API authentifié et multi-rôles demande une configuration importante ; pas de reporting managé ni de mise en forme pour la conformité.

Idéal pour : les équipes contraintes par le budget qui établissent une base, et les ingénieurs qui veulent un proxy gratuit pour du sondage manuel.

4. Escape

Escape est une plateforme DAST moderne conçue API-first, avec une force particulière que la plupart des scanners n'ont pas : la conscience de la logique métier. Son moteur construit une compréhension du modèle de données de votre API (y compris GraphQL, où il est l'une des rares options sérieuses) et génère des séquences d'attaque plutôt que des charges isolées. La gestion de la surface d'attaque et le pentest assisté par IA complètent la plateforme.

Tarif (vérifié en juin 2026) : sur démonstration ; pas de grille tarifaire publique.

Avantages : analyse réellement native pour les API, GraphQL inclus ; le test conscient de la logique métier va plus loin que l'arrosage de charges ; configuration sans agent à partir d'une spec ou d'un endpoint.

Inconvénients : tarif sur devis ; orienté équipe AppSec plutôt que workflow développeur ; les constats nécessitent toujours le triage de votre équipe.

Idéal pour : les équipes AppSec analysant de grands parcs d'API ou fortement axés sur GraphQL.

5. Invicti / Acunetix

Invicti (anciennement Netsparker) est une plateforme de sécurité applicative pour l'entreprise qui réunit DAST, IAST, SAST, SCA et sécurité API dans une seule suite. Sa signature est l'analyse basée sur des preuves : le moteur tente une confirmation sûre et contrôlée d'une vulnérabilité avant de la signaler, ce qui réduit fortement les faux positifs. Côté API, il analyse REST, SOAP et GraphQL, avec plusieurs voies de découverte (découverte dynamique sans configuration, intégrations de gestion d'API, analyse du trafic). Acunetix est son produit frère sur le même moteur basé sur des preuves, avec une configuration plus simple et une licence par FQDN, destiné aux équipes plus petites.

Tarif (vérifié 2026) : Invicti est sur devis et à paliers entreprise selon les cibles de scan et le déploiement, sans prix public. Acunetix démarre autour de 5 000 $/an en licence par FQDN, avec un minimum de plusieurs cibles.

Avantages : l'analyse basée sur des preuves maintient les faux positifs bas ; couverture réellement large sur le web, l'API et l'IAST depuis une seule plateforme ; reporting mature et mise en forme pour la conformité des grands programmes AppSec.

Inconvénients : tarifé et positionné pour les équipes AppSec d'entreprise, pas pour les squads produit individuelles ; c'est un DAST web-et-API généraliste plutôt qu'un outil API-first, donc l'ergonomie spécifique aux API est plus légère que celle des options nativement API ; les limites de la classe scanner sur l'autorisation liée à la logique métier (BOLA/IDOR) s'appliquent toujours, comme pour tout DAST.

Idéal pour : les entreprises qui veulent une seule plateforme basée sur des preuves couvrant applications web et API à travers DAST, IAST et SAST, avec une fonction AppSec dédiée pour l'exploiter.

6. APIsec

APIsec automatise le test d'intrusion des API : il analyse votre API, génère des playbooks d'attaque couvrant l'autorisation (BOLA, RBAC), l'injection et les failles de logique, les exécute en continu, et produit des rapports de pentest certifiés que vous pouvez remettre aux auditeurs et aux clients. C'est l'un des rares fournisseurs à afficher un tarif public par endpoint.

Tarif (vérifié en juin 2026) : une offre gratuite pour essayer la plateforme contre des API de test ; Standard à 690 $/mois par 100 endpoints ; Pro à 2 750 $/mois par 100 endpoints avec intégrations CI/CD et ticketing complètes.

Avantages : les rapports de pentest certifiés satisfont la conformité et les revues de sécurité des clients ; vrai test d'autorisation, pas seulement de l'analyse de charges ; tarif transparent.

Inconvénients : le tarif par 100 endpoints devient coûteux pour les parcs de microservices ; c'est un produit de sécurité dans un silo de sécurité, séparé de votre régression QA ; la configuration suppose que vous connaissez votre inventaire d'endpoints.

Idéal pour : les entreprises qui ont besoin de preuves de pentest API récurrentes et certifiées pour la conformité ou la vente aux grands comptes.

7. StackHawk

StackHawk est un DAST conçu pour les développeurs et le CI/CD : les scans se configurent en YAML, s'exécutent dans le pipeline contre des builds de pré-production, et les constats arrivent sous forme de tickets actionnables avec des commandes curl pour reproduire. L'outil a fortement misé sur la sécurité des API (REST, GraphQL, gRPC, SOAP) ainsi que sur des surfaces plus récentes comme les applications LLM et les serveurs MCP, et il intègre la découverte de votre surface d'attaque API depuis le code.

Tarif (vérifié en juin 2026) : sur devis ; pas de prix public sur leur site.

Avantages : ergonomie CI/CD parmi les meilleures pour un scanner ; informations de reproduction adaptées aux développeurs ; large couverture des protocoles API.

Inconvénients : le tarif exige une conversation commerciale ; les limites de la classe scanner sur les failles d'autorisation liées à la logique métier s'appliquent toujours ; le modèle par scan implique que la profondeur de couverture dépend de la rigueur de configuration des scans.

Idéal pour : les organisations d'ingénierie qui veulent une analyse de sécurité vivant dans le pipeline, détenue par les développeurs.

8. Beagle Security

Beagle Security est une plateforme DAST managée qui exécute des tests d'intrusion planifiés et authentifiés contre les applications web, les API et GraphQL, puis met en forme les résultats en rapports orientés OWASP, HIPAA et PCI DSS. C'est l'une des options commerciales les plus abordables avec un tarif public, ce qui en fait une première étape payante courante après ZAP.

Tarif (vérifié en juin 2026) : Essential à 99 $/mois (2 tests/mois, axé application web) ; Advanced à 299 $/mois ajoute le test de sécurité API et GraphQL, l'enregistrement de logique métier et les rapports de conformité ; Enterprise est sur mesure.

Avantages : tarif transparent et accessible ; reporting prêt pour la conformité ; test authentifié sans configuration lourde.

Inconvénients : le test de sécurité API ne démarre qu'avec la formule Advanced ; le comptage des tests par mois plafonne le caractère réellement continu de vos tests ; la profondeur sur la logique d'autorisation complexe est limitée, comme pour tous les scanners.

Idéal pour : les petites et moyennes équipes qui ont besoin de pentests planifiés crédibles et de rapports de conformité avec un budget maîtrisé.

9. Postman

Postman n'est pas un produit de sécurité, mais c'est là que des millions d'équipes conservent déjà leurs définitions d'API, si bien que ses fonctionnalités de sécurité méritent une entrée honnête. Postman peut linter les specs d'API selon des règles de sécurité configurables (signalant par exemple des schémas d'authentification manquants avant la livraison du code), et ses tests scriptés plus les exécutions de collections permettent aux équipes rigoureuses de construire à la main des vérifications d'autorisation : capturer deux tokens utilisateur, rejouer des requêtes entre comptes, faire des assertions sur les réponses.

Tarif (vérifié en juin 2026) : offre gratuite ; Solo à 9 $/mois ; Team à 19 $ par utilisateur/mois ; Enterprise à 49 $ par utilisateur/mois, facturé annuellement. Le linting de sécurité des specs relève des fonctionnalités de gouvernance de la plateforme, dans les paliers supérieurs.

Avantages : aucun nouvel outillage si vous vivez dans Postman ; le linting de sécurité au niveau de la spec détecte tôt les failles de conception ; les collections sont le format d'échange universel.

Inconvénients : tout ce qui va au-delà du linting est manuel : vous écrivez les scripts de test de sécurité, vous les maintenez ; pas de moteur d'analyse, pas de bibliothèque de charges d'attaque ; la couverture de sécurité vaut exactement l'effort que votre équipe y met. Si vous avez des collections mais voulez des tests de sécurité générés, Qodex importe les collections Postman directement, ce que nous couvrons dans Qodex vs Postman.

Idéal pour : les équipes déjà sur Postman qui veulent un linting de sécurité au moment de la conception et acceptent d'écrire à la main les vérifications à l'exécution.

10. Akto

Akto s'attaque au problème que la plupart des équipes ont avant même de tester : ne pas savoir quelles API elles exposent réellement. Il construit un inventaire d'API à partir du trafic (mirroring, eBPF, intégrations de gateway) et du code, signale les endpoints shadow et zombies, détecte les données sensibles dans les flux, puis exécute une large bibliothèque de modèles de tests de sécurité (BOLA, auth, injection, mauvaise configuration) contre l'inventaire. Un coeur open source facilite l'évaluation.

Tarif (vérifié en juin 2026) : l'édition open source est gratuite ; les formules Cloud et auto-hébergées sont sur devis.

Avantages : l'approche découverte-first trouve les API que personne ne détient ; forte bibliothèque de modèles avec contributions communautaires ; point d'entrée open source ; option auto-hébergée pour les environnements réglementés.

Inconvénients : la découverte basée sur le trafic demande une intégration d'infrastructure pour briller ; le test piloté par modèles hérite des limites de la classe scanner sur la logique métier ; la largeur de la plateforme (découverte, posture, test, sécurité IA) peut dépasser ce dont une seule équipe produit a besoin.

Idéal pour : les équipes sécurité d'organisations aux parcs d'API tentaculaires et partiellement inconnus qui ont besoin de l'inventaire et du test dans une seule plateforme.

Quel outil de test de sécurité API convient à votre équipe

La catégorie compte plus que la marque. Faites correspondre l'outil à qui détient le correctif et à la vitesse d'évolution de votre API.

• Développeurs solo et équipes en phase précoce sans budget sécurité : associez OWASP ZAP dans le CI pour la largeur à l'offre gratuite de Qodex pour les scénarios BOLA, IDOR et de contournement d'authentification authentifiés. Entre les deux, vous couvrez les classes de vulnérabilités connues et le risque API numéro un sans bon de commande.

• Équipes produit et plateforme livrant chaque jour : placez la régression de sécurité là où vivent déjà vos tests fonctionnels. Qodex rédige des vérifications BOLA, IDOR et d'authentification qui se rejouent à chaque déploiement ; ajoutez StackHawk si vous voulez un scanner détenu par les développeurs dans le même pipeline.

• Équipes AppSec dédiées gardant un grand parc : une plateforme privilégiant la largeur mérite sa place. Escape pour l'analyse nativement API et fortement GraphQL, ou Invicti/Acunetix pour une couverture basée sur des preuves sur le web et l'API dans une seule suite. Associez l'une ou l'autre à Akto quand vous devez d'abord découvrir les API dont vous ignoriez l'existence.

• Équipes vendant aux grands comptes : il vous faut des preuves selon un calendrier. Les rapports de pentest certifiés d'APIsec et le reporting prêt pour la conformité de Beagle Security sont conçus pour être remis aux auditeurs, idéalement adossés à une régression de sécurité continue afin que le rapport reflète le build actuel et non celui du trimestre dernier.

• Professionnels de la sécurité faisant du test pratique : Burp Suite Professional reste la boîte à outils manuelle de référence pour les exploits chaînés et les abus de logique métier qu'aucune automatisation n'invente.

Outils de test face à la protection à l'exécution : où s'arrête cette liste

Chaque outil ci-dessus teste une API : il envoie des attaques et vous dit ce qui est exploitable, avant ou pendant la mise en production. C'est différent de la protection à l'exécution, qui se place devant une API en direct et bloque les attaques en production. Les acheteurs confondent régulièrement les deux, il vaut donc la peine de tracer la ligne.

Les fournisseurs d'exécution et de posture se répartissent en trois voies :

• Le WAAP (Web Application and API Protection) protège les API exposées sur Internet à la périphérie avec la mitigation des bots et des DDoS, la validation de schéma et des règles L7. Exemples : Akamai, Cloudflare, F5, Imperva.

• Les gateways d'API médiatisent le trafic avec le routage, l'authentification, la limitation de débit et la politique. Exemples : Kong, Apigee, AWS API Gateway.

• La gestion de la posture de sécurité des API (ASPM) et les plateformes autonomes ajoutent la découverte continue des API shadow et zombies, la classification des données et la détection comportementale à l'exécution. Exemples : Salt Security, Traceable, Cequence, Noname.

Ce sont des compléments, pas des substituts. La protection à l'exécution bloque ce qui atteint la production ; le test empêche la vulnérabilité d'être livrée en premier lieu, et seul le test détecte une régression d'autorisation avant vos clients. Les programmes les plus solides font les deux : un outil de test de la liste ci-dessus intégré au CI, et une couche WAAP ou ASPM devant l'API en direct. Si vous magasinez spécifiquement le volet exécution, évaluez les fournisseurs sur la largeur de découverte (API shadow et zombies), la qualité de la détection comportementale et la couverture du Top 10 des API de l'OWASP en production.

Comment évaluer les outils de test de sécurité API

Testez d'abord le volet autorisation. Demandez à chaque fournisseur : « Montrez-moi comment vous détectez l'utilisateur A lisant l'objet de l'utilisateur B. » Si la réponse implique de configurer plusieurs rôles authentifiés et de comparer les réponses, c'est du vrai test BOLA. Si la réponse est une bibliothèque de charges générique, vous achetez de la largeur, pas le risque API numéro un.

Décidez où doivent atterrir les constats. Les scanners produisent des rapports pour les équipes sécurité. Les outils de style régression produisent des tests en échec pour les équipes d'ingénierie. Les constats qui atterrissent en dehors du workflow des personnes capables de les corriger vieillissent en papier peint de backlog. Faites correspondre la sortie de l'outil à l'équipe qui détient le correctif.

Chiffrez la continuité, pas le premier scan. Un pentest annuel plus des scans trimestriels laisse votre API sans garde les 300 jours et plus restants, et chaque déploiement entre-temps est une occasion de régresser. Comparez ce que coûte la couverture de sécurité par déploiement sur chaque modèle : scans comptabilisés, abonnements par endpoint, ou rejeux de tests déterministes sans coût par exécution.

Vérifiez l'import des specs et des collections. Vos specs OpenAPI et vos collections Postman sont la voie la plus rapide vers la couverture. Les outils qui les ingèrent (Qodex, Escape, StackHawk, APIsec, Akto) atteignent une couverture utile en quelques jours ; les outils qui exigent une configuration manuelle des endpoints prennent des semaines. Pour le paysage plus large des outils de test au-delà de la sécurité, voir notre comparatif outils de test API et notre comparatif outils de QA IA, ainsi que la bibliothèque de comparaisons complète sur qodex.ai/alternatives.

---

Foire aux questions

Qu'est-ce que le test de sécurité API ?

Le test de sécurité API vérifie qu'une API fait respecter ses garanties de sécurité sous attaque : l'authentification ne peut pas être contournée, les utilisateurs ne peuvent pas accéder aux objets d'autres utilisateurs (BOLA/IDOR), les entrées ne peuvent pas injecter de code, et les données sensibles ne fuient pas. Il est généralement réalisé de manière dynamique (DAST), en envoyant de vraies requêtes à une API en cours d'exécution et en évaluant les réponses, et il doit couvrir au minimum le Top 10 de la sécurité des API de l'OWASP.

Quelle est la différence entre DAST et SAST ?

Le SAST (analyse statique) lit votre code source sans l'exécuter et signale les motifs dangereux. Le DAST (analyse dynamique) attaque l'application en cours d'exécution depuis l'extérieur, comme un véritable adversaire, et juge le comportement réel. Le SAST trouve plus tôt les problèmes au niveau du code ; le DAST trouve ce qui est réellement exploitable, y compris les mauvaises configurations et les failles d'autorisation qui n'apparaissent jamais dans le code. Les équipes matures font les deux.

Quel est le meilleur outil gratuit de test de sécurité API ?

OWASP ZAP est l'option entièrement gratuite la plus solide : open source, scriptable, avec import OpenAPI et automatisation CI. L'édition open source d'Akto ajoute la découverte d'API et une bibliothèque de modèles de tests de sécurité. L'offre gratuite de Qodex génère et exécute des scénarios de sécurité (BOLA, contournement d'authentification, injection) sans carte bancaire, et Burp Suite Community couvre le test manuel gratuit.

Un scanner peut-il détecter les vulnérabilités BOLA et IDOR ?

Seulement en partie, et c'est la limite la plus importante de la catégorie. Détecter le BOLA exige de savoir que l'utilisateur A ne devrait pas voir les données de l'utilisateur B, ce qui relève de la logique métier que la réponse HTTP ne déclare pas. Les scanners l'approchent par des heuristiques ; une détection fiable exige de tester avec plusieurs vrais rôles utilisateur et de faire des assertions sur ce à quoi chacun est autorisé à accéder. C'est pourquoi les failles d'autorisation sont le mieux couvertes par des outils conscients des rôles (Qodex, APIsec) ou des tests multi-rôles construits à la main, les scanners apportant la largeur sur les autres classes de vulnérabilités.

À quelle fréquence les API doivent-elles être testées en sécurité ?

À chaque déploiement. Les régressions d'autorisation sont livrées à l'intérieur du travail de fonctionnalités ordinaire : un nouvel endpoint oublie une vérification de tenance, un refactoring supprime un garde-fou de permission. Les pentests annuels et les scans trimestriels détectent cela avec des mois de retard. Le schéma pratique est une régression de sécurité continue (à la même cadence que les tests fonctionnels) plus une revue experte périodique avec un outil comme Burp pour les attaques créatives et chaînées que l'automatisation manque.

Postman fait-il du test de sécurité API ?

Postman fournit un linting de sécurité au niveau de la spec (signalant les schémas d'authentification manquants et les configurations risquées dans vos définitions d'API) et vous laisse écrire à la main des vérifications de sécurité sous forme de scripts de test dans les collections. Il n'a pas de moteur d'analyse ni de bibliothèque d'attaques, donc la couverture de sécurité à l'exécution est entièrement manuelle. Les équipes qui dépassent les vérifications écrites à la main importent généralement leurs collections Postman dans un outil dédié ; Qodex, par exemple, ingère les collections directement et génère pour vous les scénarios d'autorisation et d'injection.

Dois-je utiliser un outil de test de sécurité API ou un fournisseur de protection à l'exécution comme Akamai ou Salt Security ?

Les deux, pour des tâches différentes. Les outils de test (tous les outils de ce guide) envoient des attaques à votre API avant ou pendant la mise en production et vous disent ce qui est exploitable, afin que vous puissiez le corriger avant la livraison. Les fournisseurs de protection à l'exécution, qu'il s'agisse de plateformes WAAP comme Akamai, Cloudflare et Imperva ou de plateformes de posture API comme Salt Security et Traceable, se placent devant l'API en direct et bloquent les attaques en production. La protection à l'exécution ne peut pas vous dire qu'un nouvel endpoint a été livré sans vérification d'autorisation ; seul le test détecte cette régression avant la mise en production. Les équipes matures font tourner un outil de test dans le CI et une couche d'exécution devant la production.