Fiche mémo HTTP et API REST

Cycle et vocabulaire

Une requête HTTP : méthode (GET, POST, PUT, DELETE), cible (chemin, requête), en-têtes, corps. Une réponse : code d'état (2xx, 3xx, 4xx, 5xx), en-têtes, corps.

HTTP est sans état : chaque requête porte ses justificatifs (jeton, clé).

Notions clés : sûr (lecture seule), idempotent (plusieurs appels = un seul effet).

Méthodes et idempotence

Codes d'état principaux

En-têtes courants

→ = requête, ← = réponse, ↔ = les deux.

Versions HTTP

HTTPS : HTTP + TLS (voir cours « Chiffrement »).

REST : ressources et conventions

Erreur normalisée (RFC 9457, application/problem+json) :

{"type": "…", "title": "…", "status": 429, "detail": "…"}

JSON et pagination

JSON (RFC 8259) : objets, tableaux, chaînes, nombres, booléens, null. UTF-8 obligatoire.

Pagination : par décalage (?limite=50&decalage=100) ou par curseur (?apres=<curseur>).

Cookies

Set-Cookie avec attributs : Secure, HttpOnly, SameSite, Max-Age, Domain, Path.

Les cookies sont des secrets au même titre que des mots de passe.

Cache

• Cache-Control: max-age=N : fraîcheur en secondes
• no-store : ne pas stocker
• private : cache local seul (données personnelles)
• ETag / Last-Modified : validation ; client renvoie If-None-Match / If-Modified-Since ; serveur répond 304

Données personnelles : toujours private ou no-store.

Authentification des appels

Encadré secrets.

CORS

• Requête simple (GET, HEAD, POST) : pas de contrôle préalable
• Preflight (OPTIONS) : pour méthodes/en-têtes personnalisés
• Réponse : Access-Control-Allow-Origin, -Methods, -Headers, -Credentials
• Avec identifiants : Origin nommée, pas *, + -Credentials: true

CORS appliqué par le navigateur ; curl ignore. L'API doit toujours authentifier côté serveur.

Limitation de débit

Réponse 429 quand limite atteinte. Reessai avec délai croissant (exponentiel + aléa), jamais en boucle serrée.

Limiter par clé, adresse, route sensible, au niveau proxy.

curl (lecture seule)

Service jetable (boucle locale, 127.0.0.1, quelques secondes) :

Attention, effet notable. Cette commande peut écrire ou écraser un fichier. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

DEMO="$(mktemp -d)" && cd "$DEMO"echo '{"id": 42}' > test.jsonpython3 -m http.server 8080 --bind 127.0.0.1

• Contexte : Terminal sur une machine de démonstration.
• Droits : utilisateur.
• Effet : crée un dossier temporaire, y ajoute un fichier JSON, lance un serveur HTTP jetable.
• Vérification : curl -s http://127.0.0.1:8080/test.json | jq retourne {"id": 42}.
• Retour arrière : Control-C arrête le serveur ; rm -r "$DEMO" efface le dossier.

Lecture :

curl -v http://127.0.0.1:8080/test.jsoncurl -sI http://127.0.0.1:8080/test.jsoncurl -s http://127.0.0.1:8080/test.json | jq '.id'curl -s -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080/absent.jsoncurl -v --resolve api.example.test:8080:127.0.0.1 http://api.example.test:8080/test.json

• Contexte : Terminal ; curl 8.23.0, jq 1.8, python3 non vérifiés.
• Droits : utilisateur.
• Effet : quelques requêtes vers la boucle locale, lecture seule.
• Vérification : voir les en-têtes, codes, réponses JSON.
• Retour arrière : Control-C, puis rm -r "$DEMO".

Options curl : -v (détail), -i (en-têtes + corps), -I (en-têtes seuls), -s (silencieux), -H (en-tête custom), -X (méthode), --json (type JSON), -w (format sortie), -o (fichier).

jq : ., .clé, .[], select(…) ; options -r (texte brut), -c (compact), -e (code sortie).

OWASP API Security Top 10 (2023)

Renvois

Chiffrement et TLS : cours « Chiffrement et cryptographie ». Authentification centralisée (OAuth, SAML, OIDC) : cours « Annuaires et identités ».