API Scanner - Déploiement auto-hébergé

API Scanner est un outil automatisé de test de sécurité des API qui analyse les API REST et SOAP à la recherche de vulnérabilités en utilisant les spécifications OpenAPI/Swagger et les fichiers WSDL.

Prérequis

• Docker Engine 20.10+
• Docker Compose v2
• Python 3.6+ (pour le script d'installation)
• 8 Go de RAM minimum (16 Go recommandé)
• 20 Go d'espace disque

Démarrage rapide

1. Clonez ce dépôt

git clone https://github.com/CSPF-Founder/api-scanner-docker.git
cd api-scanner-docker

2. Exécutez le script d'installation

python3 setup.py

Le script va :

• Générer des mots de passe aléatoires sécurisés pour tous les services
• Détecter automatiquement votre fuseau horaire
• Générer un certificat TLS auto-signé (ou utiliser le vôtre s'il est déjà présent dans ./certs/)
• Écrire le fichier de configuration .env
• Proposer de démarrer la pile Docker Compose

3. Accédez au panneau

Ouvrez https://localhost:4455 dans votre navigateur.

Si vous utilisez un certificat auto-signé, votre navigateur affichera un avertissement de sécurité - acceptez-le pour continuer.

Configuration manuelle

Si vous préférez configurer manuellement plutôt que d'utiliser le script d'installation :

1. Copiez le fichier d'environnement exemple :

cp .env.example .env

2. Modifiez .env et mettez à jour :

   • Tous les mots de passe change_me_* avec des valeurs aléatoires fortes
   • CSRF_KEY avec une chaîne aléatoire de 32+ caractères
   • ZAP_API_KEY avec une chaîne aléatoire
   • TRUSTED_ORIGINS avec votre domaine (par ex., https://scanner.yourcompany.com)
   • Assurez-vous que les mots de passe dans DATABASE_URI et MONGO_DATABASE_URI correspondent aux variables de mot de passe individuelles

3. Démarrez la pile :

docker compose up -d

Architecture

Service	Image	Description
api-scanner	cysecurity/api-scanner:latest	Panneau web + moteur d'analyse dans un seul conteneur
zap	ghcr.io/zaproxy/zaproxy:stable	Scanner de sécurité OWASP ZAP
mariadb	mariadb:10.11	Gestion des utilisateurs et stockage des sessions
mongodb	mongo:4.4	Données d'analyse, résultats et rapports

Configuration

Toute la configuration se fait via le fichier .env. Consultez .env.example pour toutes les options disponibles.

Paramètres clés

Variable	Description
MARIADB_PASSWORD	Mot de passe de l'utilisateur applicatif MariaDB
MONGO_APP_PASSWORD	Mot de passe de l'utilisateur applicatif MongoDB
CSRF_KEY	Clé de protection CSRF (32+ caractères)
ZAP_API_KEY	Clé d'authentification de l'API ZAP
TRUSTED_ORIGINS	Origines HTTPS autorisées pour le panneau
USE_TLS	Activer HTTPS (par défaut : true)
TZ	Fuseau horaire (par défaut : UTC)

Persistance des données

Toutes les données sont stockées dans des volumes nommés Docker :

• mariadb_data - Comptes utilisateurs, rôles, sessions
• mongodb_data - Enregistrements d'analyse, résultats, rapports
• scanner_data - Fichiers de travail, spécifications téléchargées, rapports générés

Mise à jour

docker compose pull
docker compose up -d

Arrêt

docker compose down

Pour supprimer toutes les données (destructeur) :

docker compose down -v

Dépannage

Consultez les logs :

docker compose logs api-scanner
docker compose logs zap

Vérifiez l'état des services :

docker compose ps

ZAP ne démarre pas : Assurez-vous d'avoir au moins 4 Go de RAM libre. ZAP nécessite environ 3 Go.

Panneau inaccessible : Vérifiez que les certificats TLS sont dans ./certs/ et que TRUSTED_ORIGINS correspond à votre URL incluant le port (par ex., https://localhost:4455).

Erreurs de connexion à la base de données : Attendez 30 à 60 secondes après le premier démarrage pour que les bases de données s'initialisent.

Documentation

Manuel complet de l'utilisateur : https://cspf-founder.github.io/api-scanner-docker/