Outil gratuit · 100 % navigateur
OpenAPI Auditor
Calcul : yaml · ISC, OpenAPI Specification
Spécification OpenAPI ou Swagger
JSON ou YAML, 2 Mio maximum. Les $ref externes sont listés mais jamais téléchargés.
Inventaire
Analyse de sécurité
Schémas d’authentification
| Nom | Type | In / scheme | Flows |
|---|
Opérations
| Méthode | Chemin | Opération | Sécurité |
|---|
Références externes non chargées
Qu’est-ce qu’une spécification OpenAPI ?
OpenAPI est un format de description indépendant du langage pour les API HTTP. Un document recense les serveurs, chemins, opérations, paramètres, schémas de données et mécanismes de sécurité. Il décrit un contrat attendu : il ne prouve pas que le service déployé applique réellement ces contrôles.
Héritage du champ security dans OpenAPI
La section security à la racine s’applique par défaut à chaque opération. Une valeur propre à l’opération la remplace entièrement ; le tableau vide [] rend cette opération publique dans le contrat. Le serveur reste libre de diverger, volontairement ou par erreur.
Pourquoi ne pas charger les références externes
Résoudre automatiquement un $ref transformerait l’outil en client réseau : fuite possible du document, SSRF côté service et résultats dépendants d’une ressource mutable. Importez un bundle autonome lorsque vous avez besoin d’un audit complet.
?Questions fréquentes
Les $ref externes sont-ils résolus ?
Non. L’outil ne contient aucun chargeur réseau. Une référence HTTP, Git ou fichier est seulement affichée et l’analyse précise que son contenu manque.
Une opération sans security est-elle forcément vulnérable ?
Non. Elle hérite normalement de security à la racine. Une opération avec security: [] annule explicitement cet héritage. Une API peut aussi avoir des routes publiques volontaires.
Cet audit remplace-t-il un test de l’API ?
Non. OpenAPI décrit un contrat. Le serveur peut exposer des routes absentes, appliquer une autre authentification ou renvoyer des propriétés supplémentaires. Comparez ensuite le contrat au trafic réel.
+Autres outils
- HTTPHTTP Security Inspector
Analysez une requête ou réponse brute, ses en-têtes, cookies et ambiguïtés.
- OIDCOAuth / OIDC Inspector
Analysez les flux OAuth/OIDC et générez PKCE, state et nonce localement.
- {·}JWT Inspector
Décodez un JWT, vérifiez sa signature, repérez les faiblesses.
Audit technique
Faire vérifier une application ou une infrastructure
Pour une analyse par notre équipe, indiquez les systèmes concernés, les accès disponibles et les tests souhaités dans votre demande.