Pour qui
L’audit s’adresse aux équipes qui exposent déjà des API. Une passerelle est en place, parfois plusieurs, et le parc a grandi plus vite que les contrats, les droits et les règles de dépréciation. La revue sert à remettre ces éléments à plat avant de financer une migration, un changement d’outil ou une nouvelle vague d’API.
Le périmètre peut couvrir WSO2 API Manager, Kong, Apigee, Azure API Management, AWS API Gateway et Gravitee. Ces noms décrivent des outils que l’on sait lire. Ils ne décrivent pas une préférence. Le comparatif pose les différences de plans et de déploiement sans les classer. L’article Kong et WSO2 détaille un cas de choix fréquent.
L’offre est moins utile lorsqu’aucune API n’est encore exposée et que le sujet est un cadrage produit. Elle l’est aussi lorsqu’il faut un test d’intrusion complet : ce n’est pas l’objet de cette revue.
Livrables
L’inventaire liste les API exposées, les consommateurs que l’on peut identifier, et les écarts entre le contrat annoncé et ce que la passerelle laisse passer. Un contrat OpenAPI à jour et une route oubliée ne racontent pas la même chose.
La revue de sécurité regarde les modes d’authentification réellement configurés, la tenue des secrets, le TLS, les quotas et ce qui est journalisé. C’est une lecture de configuration. Ce n’est pas un test d’intrusion, ni une attestation, ni une garantie qu’aucune faille n’existe hors du périmètre.
La revue de gouvernance regarde qui publie, qui porte l’API, comment une version est dépréciée, et ce que le portail montre aux équipes consommatrices. Une API sans propriétaire connu est un constat, pas un reproche.
La feuille de route ordonne la suite : ce qui peut attendre, ce qui bloque un changement d’outil, ce qui relève d’un autre chantier (identité, réseau, observabilité). Elle ne contient pas de note globale et pas de pourcentage de conformité.
Démarche
- Cadrage. Passerelles, environnements, accès en lecture, et ce qui est hors sujet. Le prix de la suite du travail est indicatif sur devis à partir de ce périmètre. Aucune durée n’est fixée à l’avance.
- Constat. Lecture des configurations et des contrats. Lorsque vous l’autorisez, lecture d’un échantillon de traces. Entretiens courts avec les personnes qui publient et celles qui consomment.
- Restitution. Constats écrits, limites de ce qui a pu être vu, ordre de travaux. Les outils sont décrits d’après leur documentation publique et la configuration observée.
- Suite éventuelle. Conception ou mise en œuvre, seulement si vous la demandez. Une migration WSO2 ou un POC d’IA agentique sont d’autres offres, pas une suite automatique.
Ce que l’audit ne fait pas
Il ne remplace pas un audit de code des services backend, ni un programme de conformité. Il ne promet pas la fermeture de tous les écarts. Nos consultants sont certifiés WSO2 API Manager Practitioner V4 (2023), WSO2 API Manager Developer V3 (2021), MuleSoft Developer V4 (2022), Workato Automation Pro I, II, III (2025, valides jusqu’en 2027) et ITIL V4 (2020). Le détail est sur la page À propos.
Le cadre d’ingénierie voisin est décrit sur les pages plateformes API et cloud, interopérabilité et cybersécurité.
Questions fréquentes
Faut-il arrêter le trafic pendant l’audit ?
Non. La revue se fait en lecture des configurations, des contrats et, si vous l’autorisez, d’un échantillon de traces. Un appel de test n’est lancé qu’avec votre accord.
Peut-on revoir plusieurs passerelles dans le même audit ?
Oui, lorsque ces passerelles sont dans le périmètre cadré. WSO2 API Manager, Kong, Apigee, Azure API Management, AWS API Gateway et Gravitee peuvent être lus côte à côte. Le comparatif sert de grille, pas de classement imposé.
Le livrable désigne-t-il un outil à retenir ?
Non. Il décrit l’écart entre l’usage observé et ce que la documentation publique de l’outil permet. Le choix reste le vôtre.
Comment sont fixés le prix et la durée ?
Le chiffrage est indicatif sur devis, une fois le périmètre connu. Aucune durée ni aucun prix ne sont affichés sur cette page : ils dépendent du nombre de passerelles et de la qualité des accès.
Pour cadrer le périmètre, écrivez à contact@technocify.fr ou utilisez le formulaire de contact. Le chiffrage est indicatif sur devis.