OWASP OFFAT

OFFensive Api Tester — tests de sécurité d'API conscients de la source.
Cartographie votre API depuis le code, prouve les chemins source→sink sur un graphe de code, exécute les tests avec un moteur Rust, et trie les résultats avec l'IA.

Documentation · Installation · Utilisation · GitHub Action

---

Utilisation autorisée uniquement. Les exécutions en direct envoient de vraies requêtes à la cible vers laquelle vous pointez OFFAT et nécessitent un --yes explicite. Ne testez que les systèmes et le code que vous possédez ou que vous êtes autorisé à évaluer.

Ce qu'il fait

map -> code graph -> threat model -> test-gen -> execute (Rust) -> triage (AI) -> report

• Cartographier la surface d'attaque directement depuis la source (routes de décorateurs, routeurs, spécifications OpenAPI/Swagger) dans un unique fichier Bundle canonique.
• Prouver les flux de données source-vers-sink sur un graphe de propriétés de code (Python, JS/TS) et rattacher chaque constat à la route HTTP qui l'atteint.
• Exécuter le plan de test avec un moteur Rust sur HTTP/1.1, HTTP/2, WebSocket et gRPC (HTTP/3 + QUIC en option), avec des vérifications différentielles conscientes de l'identité pour BOLA / BFLA.
• Trier avec un trieur IA discipliné sur les tokens (mis en cache, par lots, hiérarchisé par modèle) ou une heuristique hors ligne déterministe.
• Rapporter au format SARIF 2.1.0 (avec flux de code), Markdown, HTML, un rapport de conformité OWASP API Top 10, et JUnit.

Démarrage rapide

git clone https://github.com/OWASP/OFFAT.git && cd OFFAT
pip install ./bundle ./triager './whitebox[graph]' ./graybox ./platform ./reporter
make engine                                   # Rust engine, only for live runs

# source-only: no traffic is sent
offat-platform run /path/to/repo -o app.offat.json --report-dir reports

# live, against a target you are authorized to test
offat-platform run /path/to/repo --url https://api.your-authorized-target.test \
  --identities examples/identities.example.json --yes -o app.offat.json --fail-on high

Modes source uniquement :

offat-whitebox /path/to/repo          # code-graph SAST + AI triage
offat-graybox  /path/to/repo          # SAST prioritized by endpoint reachability

Ou utilisez le conteneur : docker build -t offat -f docker/Dockerfile .

Organisation du dépôt

Chemin	Contenu
bundle/	le contrat Bundle (schéma, IO, validation)
platform/	offat-platform : cartographie, PRG, modèle de menace, génération de tests, triage
engine-rs/	offat-engine : moteur d'exécution Rust
whitebox/	offat-whitebox : moteur de teinte de graphe de code + pipeline SAST
graybox/	offat-graybox : SAST fusionné avec l'accessibilité des endpoints
triager/	trieur IA / heuristique partagé
reporter/	rapports SARIF, Markdown, HTML, conformité
viz/	visualiseur statique de Bundle
docs/	sources du site de documentation

L'ancienne CLI Python uniquement pour spécifications (pip install offat, src/) a été retirée au profit de la plateforme. Sa dernière version reste disponible sur PyPI.

Contribution

Voir CONTRIBUTING.md. Les issues et pull requests sont les bienvenues.

Licence

OWASP OFFAT est distribué sous la MIT License.