NF16616 — Sécurisation des API ⇒ identification par header pour sécuriser les attaques par CSRF.

Disponible depuis la version 8.02.0.34581

Voir la carte de la fonctionnalité : A classer

Les API supportent l'identification par header, ce qui sécurise les attaques par CSRF.

Pour rendre les API plus résistantes aux attaques par CRSF, elles ont été transformées en API REST, i.e. soumis à un verbe HTTP :

• les lectures sur un GET
• les actions, écritures uniquement réservées à un PUT, POST, DELETE

Un système a été mis en place permettant de préciser le verbe HTTP attendu :

• ANY (tous, comme actuellement, en obsolète pour assurer la transition)
• GET, POST, PUT, DELETE

A terme, le ANY doit disparaître.