Ce talk est un retour sur expérience concernant les basiques de la sécurité des APIs.

En ayant en tête qu'une API reste une application WEB, je démarre par rappeler quelques basiques.

A partir de là, on parlera d'authentification et authorization avec oauth2/openid connect.

Après avoir présenté les bonnes pratiques d'utilisation, je parlerai d'API Management et de ses bénéfices.

Si vous travaillez dans une startup, vous devez certainement monter votre architecture micro-services from scratch avec assez peu de dépendances. Toutefois dans bien des cas, votre architecture est prévue en remplacement d'un système monolithique existant. Evidemment toute migration de type big bang est proscrite et vous devez prévoir que les deux systèmes coexistent pour un longue durée et sont amenés à modifier des données de façon concurrente ... et en évitant tout conflit!

Venez découvrir comment ce défi a été relevé pour un acteur de la grande distribution de premier plan.

Nous sommes passés de Java 8 à Java 11 sur un gros projet Java chez efluid en septembre 2018 juste au moment de la release de Java 11. Comment cela s’est-il passé? Où en sommes nous aujourd’hui? Quels problèmes avons nous eu?

Nous passerons en revue les différents points d’attention importants pour une migration java 8 -> 11, et nous verrons en quoi cette migration peut être bénéfique pour vos projets.

Sans oublier l’incontournable question “quel fournisseur de JDK choisir ?” C’est désormais un point à ne pas sous-estimer, surtout sur les projets longs termes.

"Chaque coupure de service se transforme en enquête policière."

C'est une plainte qu'on peut souvent entendre chez les responsables de production. Mais en réalité, avec les bons outils, cela peut-être beaucoup plus simple.

Cette conférence donnera un aperçu sur comment monitorer efficacement ses applications Spring Boot sachant qu'elles deviennent de plus en plus populaires pour bâtir des microservices. En particulier, nous étudierons :
- Métriques système : regarder à la loupe le trafic réseau et la charge système.
- Logs applicatif : collecter et centraliser des logs structurés.
- Disponibilité : utiliser Heartbeat pour effectivement mesurer la disponibilité et les temps de réponse de nos services.
- Métriques applicatif : rassembler les métriques de Spring Boot et l'état de santé via REST ou JMX.
- Performance applicative : utiliser APM par elastic pour rapidement identifier les causes des ralentissements.

La sécurité d'une application est souvent décrite dans une spécification ou un RFP en utilisant une exigence très vague ou trop générique, telle que « L'application doit être sécurisée; L’application doit être protégée contre le Top 10 de l’OWASP ; L’application doit suivre les recommandations OWASP… ».

Ce type d’attente concernant le niveau de sécurité du système cible ne permet pas d’identifier clairement:

• La posture de sécurité à atteindre,
• Les efforts et la charge nécessaires pour atteindre ce niveau,
• Les informations utiles aux équipes de développement sur les contre-mesures à mettre en œuvre.

Cette présentation aura pour objectif de décrire une approche qui a été construite sur la notion de « cas d’abus » des fonctionnalités afin d’identifier clairement le niveau de sécurité attendu pour un système et de fournir toutes les informations nécessaires aux équipes de développements pour ajouter la sécurité dans le design et l’implémentation dudit système.