Synthèse
Les incidents de sécurité liés aux API sont en hausse : 87 % des entreprises ont été confrontées à un incident de sécurité lié aux API au cours de l'année écoulée, par rapport aux 76 % enregistrés en 2022.
L'IA est impliquée : 42 % des incidents concernent des API liées à des technologies d'IA, telles que les grands modèles de langage (LLM) et les agents autonomes.
La visibilité s'effondre : parmi les entreprises déclarant disposer d'un inventaire « complet » de leurs API, seules 23 % savent réellement quelles API renvoient des données sensibles.
Un décalage existe dans la perception de la maturité : les dirigeants ont une perception bien plus optimiste de la maturité de leurs pratiques de test des API que les équipes DevSecOps qui les mettent en œuvre au quotidien.
- Les répercussions financières sont considérables : les violations liées aux API coûtent désormais plus de 1,8 million de dollars par an aux entreprises du quartile supérieur.
Une réalité préoccupante pour les professionnels de la sécurité
Les résultats de la dernière Étude des impacts sur la sécurité des API d'Akamai mettent en lumière une réalité préoccupante pour les professionnels de la sécurité. Malgré les avertissements répétés concernant les API indésirables, fantômes, zombies et d'autres vulnérabilités associées aux API, qui ont incité les organisations à investir davantage dans leur sécurisation ces dernières années, les entreprises peinent toujours à suivre le rythme des menaces. Dans leur course à l'adoption des dernières avancées de l'IA, elles créent involontairement une surface d'attaque tentaculaire et non cartographiée, que les mécanismes de défense traditionnels ne peuvent ni identifier ni sécuriser.
Les résultats de l'Étude 2026 des impacts sur la sécurité des API d'Akamai, menée auprès de 1 840 responsables et professionnels de la sécurité dans 10 pays, révèlent que la croissance des API dépasse désormais les efforts de résilience. Alors que les entreprises internationales gèrent aujourd'hui en moyenne 5 900 API, leur capacité à les protéger se dégrade fortement.
Cela ne reflète pas un simple problème technique, mais une défaillance systémique de gouvernance, dont le coût moyen atteint 700 000 USD par an pour les entreprises concernées. Pire encore, les coûts ne cessent d'augmenter. L'Étude 2024 des impacts sur la sécurité des API estimait ce montant à 590 000 USD.
Heureusement, les entreprises commencent à prendre conscience des risques qui pèsent sur leurs API. En effet, près de 80 % des entreprises placent désormais la sécurité des API parmi leurs trois principales priorités en matière de cybersécurité. Les deux tiers des personnes interrogées indiquent également que l'attention portée à ce sujet s'est renforcée au cours des 12 derniers mois. Par ailleurs, plus de la moitié d'entre elles (52 %) classent les incidents liés aux API parmi les cinq cybermenaces les plus préoccupantes pour leur cyberrésilience.
Les équipes de sécurité ne parviennent tout simplement plus à suivre l'expansion de cet écosystème.
Le grand décalage : pourquoi les WAF ne suffisent pas
Pendant des années, les entreprises ont considéré la sécurité des API comme une simple exigence de conformité figurant sur la liste de contrôle associée aux pare-feux d'application Web (WAF). Les WAF ont été conçus pour bloquer des signatures malveillantes comme les injections SQL. Les attaques actuelles ciblant les API sont toutefois beaucoup plus discrètes et progressives. Elles utilisent des identifiants légitimes et des protocoles parfaitement conformes pour mener des actions illicites.
Les approches traditionnelles de sécurité Web considèrent les API comme secondaires par rapport à l'interface utilisateur. Dans un monde dominé par l'IA, l'API est pourtant placée au cœur des activités.
Nos recherches montrent que si 80 % des entreprises utilisent un WAF, seules 35 % ont déployé des solutions spécifiquement dédiées à la sécurité des API. Ce recours à des mécanismes de protection périmétrique hérités crée une faille majeure face aux problèmes d'autorisation brisée au niveau de l'objet (BOLA) et aux abus de logique métier. Les attaquants ne cherchent plus à compromettre votre code. Ils se contentent de demander à vos API d'exécuter des actions pour lesquelles elles n'ont pas été conçues, tandis que votre WAF autorise ce trafic non autorisé.
En effet, les attaques BOLA résultent d'ailleurs souvent de mauvaises configurations, telles que des accès directs non sécurisés à un objet ou une dépendance excessive aux contrôles effectués côté client. Cette situation est d'autant plus préoccupante que la moitié des entreprises interrogées s'estiment faiblement ou moyennement préparées à gérer les erreurs de configuration.
L'épidémie des API fantômes et l'effet multiplicateur de l'IA
Vous ne pouvez pas sécuriser ce que vous ne pouvez pas voir. Le problème des API fantômes a atteint un point de rupture. Les données de cette année montrent que si 77 % des personnes interrogées affirment disposer d'un inventaire complet de leurs API, leur visibilité sur la finalité réelle de ces API se dégrade depuis maintenant quatre années consécutives.
En 2022, 40 % des entreprises savaient quelles API renvoyaient des données sensibles. Aujourd'hui, ce chiffre ne représente plus que 23 %. Les attaquants exploitent activement ce manque de visibilité en s'appuyant sur l'IA.
Après avoir investi 37 milliards de dollars dans l'IA générative en 2025, les entreprises ont créé des milliers de nouvelles connexions vers des LLM. Ces API liées à l'IA déterminent les données auxquelles un modèle peut accéder et les actions qu'il est autorisé à déclencher. Lorsqu'un attaquant parvient à manipuler un système d'IA au moyen d'une attaque par injection de prompts, c'est l'API qui récupère les données sensibles.
Les entreprises commencent à prendre conscience de ces risques. Selon l'Étude 2026 des impacts sur la sécurité des API, 42 % des professionnels de la sécurité ayant signalé un incident lié aux API au cours de l'année écoulée indiquent que celui-ci impliquait des API associées à des technologies d'IA, telles que des applications, des agents autonomes ou des LLM.
Le fossé entre la perception des dirigeants et la réalité du terrain
L'une des observations les plus frappantes de l'Étude 2026 des impacts sur la sécurité des API réside dans l'écart entre la perception des dirigeants et la réalité opérationnelle. Les personnes interrogées ont été invitées à évaluer le niveau de maturité des tests des API au sein de leur entreprise selon trois niveaux :
- Tests fonctionnels qui vérifient que les API fonctionnent comme prévu
- Tests intégrant une dimension de sécurité, comprenant un nombre limité de contrôles de sécurité
- Tests avancés qui évaluent systématiquement les API face aux vulnérabilités et aux méthodes d'attaque réelles
Par ailleurs, les entreprises savent depuis des années que les tests réalisés tout au long du cycle de vie du développement logiciel (SDLC) constituent une étape essentielle pour combler les failles de sécurité des API. Et même si l'écart de perception est moins marqué que l'écart de sécurité lui-même, il n'en demeure pas moins problématique.
Indicateur | Confiance des dirigeants | Réalité observée par les équipes DevSecOps |
|---|---|---|
Maturité avancée des tests | 40 % | 28 % |
Intégration complète du SDLC | 19 % | 13 % |
Le fossé entre la perception des dirigeants et la réalité du terrain ; source : Étude 2026 des impacts sur la sécurité des API
Le décalage mis en évidence dans ce tableau suggère que les investissements des dirigeants dans la sécurité des API pourraient être insuffisants, parce qu'ils considèrent le problème comme déjà résolu. Lorsque l'urgence liée au déploiement de l'IA prend le pas sur la sécurité, ce sont les équipes DevSecOps qui détectent les premières fissures.
Cet excès de confiance au sein des comités de direction se traduit par un manque de ressources dédiées : seule 1 entreprise sur 6 a pleinement intégré les tests de sécurité des API à ses pipelines CI/CD, ce qui compromet une étape essentielle dans la prévention des abus et des attaques.
Le véritable coût du statu quo
La sécurité des API n'est plus seulement une préoccupation informatique ; elle constitue désormais un risque métier majeur. Son impact financier ne cesse de croître à mesure que les attaquants passent du simple vol de données à la déstabilisation des processus métier critiques.
La dernière Étude des impacts sur la sécurité des API révèle l'ampleur des incidents majeurs liés aux API, notamment les répercussions suivantes :
- Coût annuel moyen : 700 000 USD par entreprise
- Coût annuel moyen pour le quartile le plus exposé : plus de 1,8 million de dollars
- Principaux facteurs influençant les coûts : réparations des systèmes, interruptions de service et frais juridiques
Dans des secteurs comme l'énergie et les services publics, le coût moyen atteint 860 000 USD. Les conséquences ne sont pas uniquement financières : elles affectent également la productivité. Lorsqu'une API est compromise, les applications qui en dépendent peuvent être paralysées, ce qui entraîne d'importantes frictions internes et une perte de confiance côté client.
Cette réalité s'impose de plus en plus clairement aux responsables et aux professionnels de la sécurité. Près de 80 % des entreprises placent désormais la sécurité des API parmi leurs trois principales priorités en matière de cybersécurité.
Une nouvelle voie à suivre : dépasser l'approche centrée sur le périmètre
Pour prospérer à l'ère de l'IA, les professionnels de la sécurité doivent non seulement continuer à prendre en compte les vulnérabilités des API, mais aussi adapter leur approche. Ils ne peuvent plus se contenter de défenses statiques en espérant que toutes les API soient recensées. Les entreprises doivent repenser leur stratégie afin de se concentrer davantage sur la couche API, et :
- combler les lacunes fondamentales en matière de visibilité ;
- aller au-delà des tests fonctionnels ;
- structurer la gouvernance des API.
Combler les lacunes fondamentales en matière de visibilité
Il est temps d'abandonner les feuilles de calcul statiques. Les entreprises ont besoin de mécanismes continus et automatisés de découverte afin d'identifier en temps réel les API fantômes, zombies et liées à l'IA. Si vous ne savez pas quelles API accèdent à des informations personnelles identifiables (PII) ou à des données soumises à la réglementation HIPAA, vous risquez de perdre la confiance de vos clients comme celle des organismes de réglementation.
Aller au-delà des tests fonctionnels
Les tests fonctionnels prouvent uniquement qu'une API fonctionne. Ils ne prouvent pas qu'elle est sécurisée. Les entreprises doivent mettre en place des tests de sécurité avancés capables de simuler, dès la phase de développement, des méthodes d'attaque réelles telles que le credential stuffing ou les attaques BOLA.
Structurer la gouvernance des API
La sécurité des API doit être intégrée aux processus formels de conformité et d'évaluation des risques. Si 95 % des entreprises affirment déjà prendre en compte les API dans leurs exigences réglementaires, seules 38 % les incluent dans leurs rapports obligatoires. Les actes doivent être à la hauteur des intentions.
Seul Akamai protège les entreprises qui utilisent l'IA
La course à l'IA est lancée, mais il n'est pas encore trop tard pour consolider vos fondations. Akamai offre la visibilité mondiale et l'intelligence comportementale nécessaires pour détecter et bloquer les abus ciblant les API avant qu'ils ne touchent vos systèmes d'origine. En associant une sécurité des API dédiée à nos solutions globales de protection des applications Web et des API, nous veillons à ce que vos innovations en matière d'IA reposent sur une architecture à la fois résiliente et sécurisée.
Consultez le rapport complet pour accéder à des données de référence et découvrir comment vos pairs abordent la sécurité des API à l'heure de l'essor de l'IA.
Mots-clés
