Sécuriser une API

Bonjour,

Je suis en train de créer une API pour une application mobile (ou autre client, peu importe). Cependant je bloque un peu pour rendre cette API uniquement accessible par mon application. J’ai lu plusieurs solutions, mais conceptuellement je vois pas vraiment comment une solution pourrais marcher.

Par exemple en utilisant HMAC ou Oauth2 avec une clé privée et une clé publique. Il faut bien stocker la clé privée quelques part dans l’application, et donc une personne extérieur pourra la retrouver et simuler le comportement de l’application pour communiquer avec l’API.

Concrètement mon problème c’est : Une personne pourra toujours trouver une solution pour obtenir le code source du client (du moins réussir à obtenir la clé privé, ou tout autre moyen qui identifie le client) et donc un second client pourra se faire passé pour un client connu par le serveur.

Du coup, est-ce que mon raisonnement est faux quelque part, et quel est le moyen pour sécuriser une API ?

Merci

C’est un risque à prendre en fait. Après si ta clé privée est corrompue, rien ne t’empêche d’en changer. Faudra mettre à jour l’app pour tout le monde, mais l’ancienne clé étant invalidée l’attaquant ne pourra plus l’utiliser non plus.

C’est comme ça pour beaucoup d’APIs en fait…

Il faut essayer de mettre toute la sécurité au niveau du serveur et pas du client. Si tu veux forcer à utiliser ton client c’est pour enforce un comportement codé dans le client. Enforce le plutôt dans le code du serveur. Je sais pas si dans ton cas c’est possible, mais si tu fais un client web par exemple, tu n’auras pas le choix. Never trust client.

L’obfuscation n’est pas une sécurité.