Formation API REST : concevoir, sécuriser et industrialiser ses API Best
Maîtrisez le cycle complet d'une API REST de qualité production : de la conception design-first à la défense contre les attaques de l'OWASP API Security Top 10.
Vue d'ensemble
- Maîtriser les bases du protocole HTTP (verbes, codes de statut, en-têtes)
- Être à l'aise avec le format JSON
- Avoir une expérience du développement web (quel que soit le langage serveur)
Objectifs pédagogiques
Programme détaillé
Architecture REST et anatomie d'une API de qualité
– Style REST : principes (ressources, représentations, sans état) et place dans une architecture n-tiers
– Verbes HTTP et codes de statut : sémantique correcte et erreurs courantes à éviter
– Niveaux de maturité (Richardson) et HATEOAS : repères pour situer une API, sans dogmatisme
– REST face aux alternatives : positionnement vis-à-vis de SOAP (legacy) et aperçu de GraphQL/gRPC
– Critères d’une « bonne » API : lisibilité, prévisibilité, évolutivité
– Lecture critique d’une API publique : repérer les bons et mauvais choix de conception
– Cartographie des ressources et des endpoints d’un cas métier
Conventions de conception et stratégies de versioning
– Nommage des ressources et structuration des URI : conventions partagées du métier
– Pagination, filtrage, tri : patterns standards pour les collections volumineuses
– Gestion des erreurs : formats normalisés (problem+json) et messages exploitables côté client
– Stratégies de versioning : URI, en-tête, media-type — arbitrages et impacts
– Idempotence et cohérence : fiabiliser les écritures et les rejeux
– Conception complète du contrat d’une API REST sur un cas métier
– Revue par les pairs des choix de versioning et de gestion d’erreurs
Spécification design-first avec OpenAPI
– Approche design-first : spécifier avant de coder pour aligner équipes et consommateurs
– OpenAPI 3.x : structure d’un contrat, schémas, paramètres, réponses
– Swagger et outillage : génération de documentation et de mocks
– Mocks et environnements de test : JSON Server, sandbox, données simulées
– Postman / Insomnia : explorer, requêter et documenter une API
– Rédaction d’un contrat OpenAPI complet et génération de la documentation
– Mise en place d’un mock server pour tester sans back-end
Fondamentaux de sécurité et OWASP API Security Top 10
– Surface d’attaque d’une API : en quoi elle diffère d’une application web classique
– Principes de sécurité : confidentialité, intégrité, disponibilité, traçabilité
– OWASP API Security Top 10 (2023) : panorama des risques majeurs et exemples concrets
– Abus de ressources et déni de service : throttling, rate-limiting, quotas
– Menaces automatisées : force brute, scraping et outillage offensif (cadrage concret)
– Analyse de risques d’une API existante au regard de l’OWASP API Security Top 10
– Mise en place d’une stratégie de rate-limiting sur un endpoint sensible
Authentification et autorisation
– Authentification vs autorisation : distinguer les deux et leurs pièges
– OAuth2 : flows (authorization code, client credentials) et cas d’usage
– OpenID Connect : authentification déléguée et jetons d’identité
– Contrôle d’accès : RBAC vs ABAC / Resource-Based Access Control
– Failles d’autorisation : BOLA et accès non maîtrisé aux objets (risque n°1 de l’OWASP API)
– CORS et CSRF : comportements, bonnes configurations et erreurs fréquentes
– Mise en œuvre d’un flow OAuth2 / OpenID Connect sur l’API fil rouge
– Recherche et exploitation d’une faille d’autorisation (type BOLA) sur une API volontairement faillible
Jetons JWT et cryptographie appliquée
– Rappels de cryptographie : signature, chiffrement, gestion des clés
– JOSE et structure d’un JWT : en-tête, payload, signature
– Vulnérabilités JWT : alg=none, confusion d’algorithme, clés faibles, fuite de jeton
– Bonnes pratiques : durée de vie, rotation, stockage et révocation des jetons
– Mise en place d’une authentification par JWT
– Exploitation puis correction d’une vulnérabilité JWT classique
Autres vulnérabilités et tests d'API automatisés
– Injections et désérialisation : vecteurs côté API et parades
– Cache poisoning, SSRF, ReDoS : mécanismes et mesures préventives
– Tests d’API : domaines à couvrir et conception d’une API « testable by design »
– Automatisation : scénarios de test avec Postman, exécution en CLI avec Newman
– Intégration continue : intégrer les tests d’API au pipeline pour prévenir les régressions
– Construction d’une suite de tests data-driven et exécution via Newman
– Audit d’une API faillible : identifier, exploiter puis corriger les vulnérabilités
Exposition et exploitation via l'API Management
– Rôle d’une passerelle d’API Management : sécurité, quotas, observabilité
– Plans, clés d’API et politiques : gérer l’accès des consommateurs
– Observabilité : journalisation, métriques et supervision d’une API en production
– Déploiement et cycle de vie : exposer, publier et faire évoluer une API
– Panorama des solutions : Kong, Gravitee et équivalents (au choix du formateur)
– Exposition de l’API fil rouge derrière une passerelle d’API Management
– Configuration de quotas, de clés d’API et de tableaux de bord d’observabilité
Prochaines sessions
du 18 nov. 2026 au 20 nov. 2026 • 3 jours
du 18 nov. 2026 au 20 nov. 2026 • 3 jours
du 18 nov. 2026 au 20 nov. 2026 • 3 jours
du 18 nov. 2026 au 20 nov. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 1 févr. 2027 au 3 févr. 2027 • 3 jours
du 1 févr. 2027 au 3 févr. 2027 • 3 jours
du 1 févr. 2027 au 3 févr. 2027 • 3 jours
du 1 févr. 2027 au 3 févr. 2027 • 3 jours
du 1 févr. 2027 au 3 févr. 2027 • 3 jours
du 1 févr. 2027 au 3 févr. 2027 • 3 jours
du 1 févr. 2027 au 3 févr. 2027 • 3 jours
du 1 févr. 2027 au 3 févr. 2027 • 3 jours
du 15 mars 2027 au 17 mars 2027 • 3 jours
du 15 mars 2027 au 17 mars 2027 • 3 jours
du 15 mars 2027 au 17 mars 2027 • 3 jours
du 15 mars 2027 au 17 mars 2027 • 3 jours
du 15 mars 2027 au 17 mars 2027 • 3 jours
du 15 mars 2027 au 17 mars 2027 • 3 jours
du 15 mars 2027 au 17 mars 2027 • 3 jours
du 15 mars 2027 au 17 mars 2027 • 3 jours
du 5 avr. 2027 au 7 avr. 2027 • 3 jours
du 5 avr. 2027 au 7 avr. 2027 • 3 jours
du 5 avr. 2027 au 7 avr. 2027 • 3 jours
du 5 avr. 2027 au 7 avr. 2027 • 3 jours
du 5 avr. 2027 au 7 avr. 2027 • 3 jours
du 5 avr. 2027 au 7 avr. 2027 • 3 jours
du 11 mai 2027 au 13 mai 2027 • 3 jours
du 11 mai 2027 au 13 mai 2027 • 3 jours
du 11 mai 2027 au 13 mai 2027 • 3 jours
du 11 mai 2027 au 13 mai 2027 • 3 jours
du 11 mai 2027 au 13 mai 2027 • 3 jours
du 11 mai 2027 au 13 mai 2027 • 3 jours
du 11 mai 2027 au 13 mai 2027 • 3 jours
du 11 mai 2027 au 13 mai 2027 • 3 jours
du 7 juin 2027 au 9 juin 2027 • 3 jours
du 7 juin 2027 au 9 juin 2027 • 3 jours
du 7 juin 2027 au 9 juin 2027 • 3 jours
du 7 juin 2027 au 9 juin 2027 • 3 jours
du 7 juin 2027 au 9 juin 2027 • 3 jours
du 7 juin 2027 au 9 juin 2027 • 3 jours
du 7 juin 2027 au 9 juin 2027 • 3 jours
du 7 juin 2027 au 9 juin 2027 • 3 jours
du 6 juil. 2027 au 8 juil. 2027 • 3 jours
du 6 juil. 2027 au 8 juil. 2027 • 3 jours
du 6 juil. 2027 au 8 juil. 2027 • 3 jours
du 6 juil. 2027 au 8 juil. 2027 • 3 jours
du 6 juil. 2027 au 8 juil. 2027 • 3 jours
du 6 juil. 2027 au 8 juil. 2027 • 3 jours
du 6 juil. 2027 au 8 juil. 2027 • 3 jours
du 6 juil. 2027 au 8 juil. 2027 • 3 jours
du 1 sept. 2027 au 3 sept. 2027 • 3 jours
du 1 sept. 2027 au 3 sept. 2027 • 3 jours
du 1 sept. 2027 au 3 sept. 2027 • 3 jours
du 1 sept. 2027 au 3 sept. 2027 • 3 jours
du 1 sept. 2027 au 3 sept. 2027 • 3 jours
du 1 sept. 2027 au 3 sept. 2027 • 3 jours
du 1 sept. 2027 au 3 sept. 2027 • 3 jours
du 1 sept. 2027 au 3 sept. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 15 nov. 2027 au 17 nov. 2027 • 3 jours
du 15 nov. 2027 au 17 nov. 2027 • 3 jours
du 15 nov. 2027 au 17 nov. 2027 • 3 jours
du 15 nov. 2027 au 17 nov. 2027 • 3 jours
du 15 nov. 2027 au 17 nov. 2027 • 3 jours
du 15 nov. 2027 au 17 nov. 2027 • 3 jours
du 15 nov. 2027 au 17 nov. 2027 • 3 jours
du 15 nov. 2027 au 17 nov. 2027 • 3 jours
du 14 déc. 2027 au 16 déc. 2027 • 3 jours
du 14 déc. 2027 au 16 déc. 2027 • 3 jours
du 14 déc. 2027 au 16 déc. 2027 • 3 jours
du 14 déc. 2027 au 16 déc. 2027 • 3 jours
du 14 déc. 2027 au 16 déc. 2027 • 3 jours
du 14 déc. 2027 au 16 déc. 2027 • 3 jours
du 14 déc. 2027 au 16 déc. 2027 • 3 jours
du 14 déc. 2027 au 16 déc. 2027 • 3 jours
Ils nous font confiance
Cette année notre filière Architecture & Design Logiciel a accompagné plus de 50 entreprises dont :
Avis des participants
Formation dense mais très digeste avec beaucoup de points abordés. Les spécificités de chacun ont pu être abordées.
Le format 3 jours est une contrainte forte. A la sortie de cette formation, on attaque à peine la "vallée du doute" et on sent qu'il y a encore beaucoup à faire pour consolider les éléments découverts. Donc très efficace, dans le temps imparti.
J'ai apprécié la formation, peut-être un petit point à prendre en compte serait de plus préciser l'intitulé et le programme communiqué, pour mieux indiquer qu'il s'agit de l'architecte logiciel d'un point de vue très "macro" (culture entreprise, connaissance business, etc.) et pas uniquement purement technique…
Le formateur a été très clair et a répondu à toutes mes questions. Le rythme est adapté et j'ai reçu de l'aide qui m'a permit de ne pas être en retard. Merci
Le formateur Enzo SANDRE est un passionné et cela se ressent dans la formation. L'approche est structurée et dans le même temps nous conduit à réfléchir par nous même quant aux styles architecturaux présentés.
Votre formateur
Yann C.
Formateur Java & Spring Boot
Yann intervient sur des formations portant sur les langages et écosystèmes backend. Les sujets abordés incluent notamment Java. Son activité de formation remonte à 2005, soit plus de 20 ans d’expérience.
Financement
Cette formation est éligible aux financements OPCO et FNE-Formation. Nos équipes vous accompagnent dans le montage de votre dossier.
Questions fréquentes
Combien de temps dure la formation API REST : concevoir, sécuriser et industrialiser ses API ?
Cette formation se déroule sur 3 jours.
Quels sont les prérequis pour suivre la formation API REST : concevoir, sécuriser et industrialiser ses API ?
- Maîtriser les bases du protocole HTTP (verbes, codes de statut, en-têtes) - Être à l'aise avec le format JSON - Avoir une expérience du développement web (quel que soit le langage serveur)
Quel est le prix de la formation API REST : concevoir, sécuriser et industrialiser ses API ?
En inter-entreprises, elle est à 2 100 € HT par participant ; en intra-entreprise, elle est à 3 500 € HT pour le groupe. Un tarif sur-mesure est également disponible sur devis.
La formation API REST : concevoir, sécuriser et industrialiser ses API délivre-t-elle une certification ?
Cette formation ne délivre pas de certification. Une attestation de fin de formation vous sera remise à l'issue de la session.
La formation API REST : concevoir, sécuriser et industrialiser ses API est-elle éligible à un financement OPCO ?
Oui, cette formation est éligible aux financements OPCO et FNE-Formation. Nos équipes vous accompagnent dans le montage de votre dossier.
Choisissez votre formation
Mon contact chez SPARKS est professionnel et très réactif. Les échanges sont simples, efficaces, et la collaboration se déroule dans d'excellentes conditions.
