Malek Berrezouga · Consultant API Security · Montréal & Remote Mondial Malek Berrezouga · API Security Consultant · Montréal & Worldwide Remote

Les hackers
ciblent vos
APIs.
Hackers are
after your
APIs.

Après 10 ans à concevoir des APIs bancaires critiques, j'ai vu les mêmes failles se répéter partout. Aujourd'hui j'aide les banques, fintechs et gouvernements à les corriger, avant qu'un attaquant ne les exploite. After 10 years designing critical banking APIs, I kept seeing the same vulnerabilities everywhere. Now I help banks, fintechs and governments fix them before an attacker finds them first.

OWASP Top 10
PCI-DSS
ISO 27001
Montréal & Remote mondial Montréal & Worldwide Remote
EN · FR
securapi-scan — analyse en cours… securapi-scan — analysis in progress…
Authentification cassée
Broken authentication
POST /api/v2/auth · JWT sans expiry
CRITICAL
Données PAN exposées
Exposed PAN data
GET /users/accounts · PAN non masqué
HIGH
Rate limiting absent
Missing rate limiting
14 endpoints sans throttling
14 endpoints without throttling
HIGH
BOLA sur /accounts/{id}
BOLA on /accounts/{id}
Énumération possible
Enumeration possible
CRITICAL
TLS / HTTPS
Chiffrement conforme
Compliant encryption
PASS
Score de risque
Risk score
34/100
83%
des violations via APIs
of breaches via APIs
10+
ans expérience bancaire
years banking experience
$4.5M
coût moyen d'une violation
avg cost of a breach
50%
réduction time-to-market
time-to-market reduction
Méthodologie
Methodology

Mon approche My approach

Pas de rapport PDF générique. Je lis votre code, je comprends votre contexte, et je vous livre des recommandations que votre équipe peut appliquer dès le sprint suivant. No generic PDF report. I read your code, understand your context, and deliver recommendations your team can act on in the very next sprint.

01 / 04

IngestionIngestion

Je collecte vos specs OpenAPI, schémas, configs IAM. Pas de questionnaire à remplir. Je travaille avec ce que vous avez déjà. I collect your OpenAPI specs, schemas, IAM configs. No questionnaire to fill. I work with what you already have.

02 / 04

Analyse IAAI Analysis

Mon moteur passe chaque endpoint au crible: OWASP, PCI-DSS, JWT, CORS, rate limiting. En moins de 90 secondes sur votre spec complète. My engine checks every endpoint: OWASP, PCI-DSS, JWT, CORS, rate limiting. Under 90 seconds on your full spec.

03 / 04

Rapport ExécutifExecutive Report

Un score, une priorité claire, et une feuille de route que vous présentez à votre CISO en 30 minutes. Sans jargon inutile. One score, clear priorities, and a roadmap you can walk your CISO through in 30 minutes. No unnecessary jargon.

04 / 04

CI/CD GateCI/CD Gate

J'installe des gates dans vos pipelines Jenkins ou GitHub Actions. Les régressions sont bloquées avant d'arriver en production, automatiquement. I install gates in your Jenkins or GitHub Actions pipelines. Regressions get blocked before they hit production, automatically.

OWASP API Security Top 10 · 2023

Ce que je détecte What I detect

Chaque règle est testée systématiquement. Ce ne sont pas des recommandations théoriques. J'ai vu chacune de ces vulnérabilités en production, dans de vraies institutions. Every rule is tested systematically. These aren't theoretical recommendations. I've seen each of these vulnerabilities in production, at real institutions.

Répartition type · clients bancaires Typical distribution · banking clients
CRITICAL   HIGH   MEDIUM
API1 CRITICAL
Broken Object Level Auth
Accès non autorisé aux ressources d'autres utilisateurs via ID énumérables
Unauthorized access to other users' resources via enumerable IDs
API2 CRITICAL
Broken Authentication
JWT sans expiry, tokens faibles, credential stuffing non bloqué
JWT without expiry, weak tokens, unblocked credential stuffing
API3 HIGH
Broken Object Property Auth
PAN, PIN, mots de passe exposés dans les réponses GET
PAN, PIN, passwords exposed in GET responses
API4 HIGH
Unrestricted Resource Consumption
Absence de rate limiting, pagination manquante, DDoS applicatif
No rate limiting, missing pagination, application DDoS
API5 CRITICAL
Broken Function Level Auth
Endpoints /admin accessibles sans rôle, escalade de privilèges
Admin endpoints accessible without role, privilege escalation
API6 HIGH
Unrestricted Business Flows
Virements, retraits, inscriptions automatisables sans CAPTCHA ni idempotence
Transfers, withdrawals automatable without CAPTCHA or idempotency
API7 HIGH
Server Side Request Forgery
Paramètres URL non validés, requêtes vers services internes AWS/Azure
Unvalidated URL params, requests to internal AWS/Azure services
API8 MEDIUM
Security Misconfiguration
Headers manquants, CORS permissif, HTTP non chiffré, stack traces exposées
Missing headers, permissive CORS, unencrypted HTTP, exposed stack traces
Services & Tarifs
Services & Pricing

Ce que je propose What I offer

Pas sûr de ce dont vous avez besoin ? Lisez chaque option. Ou appelez-moi, je vous dirai franchement ce qui correspond à votre situation. Not sure what you need? Browse each option. Or just call me, I'll tell you honestly what fits your situation.

One-time
Unique
Express Audit
Audit Express
$6 500
5 days
5 jours
⭐ Most requested
⭐ Le plus demandé
Secure Architecture
Architecture Sécurisée
$14 000
3–4 weeks
3–4 semaines
Monthly
Mensuel
Retainer Essential
Retainer Essentiel
$3 800
/ month · min. 3 months
/ mois · min. 3 mois
Monthly
Mensuel
Retainer Premium
Retainer Premium
$5 500
/ month · min. 6 months
/ mois · min. 6 mois
Pourquoi me faire confiance
Why trust me

Je viens de
l'intérieur du
système
I came from
inside the
system

J'ai passé des années à construire exactement le type de systèmes que j'audite aujourd'hui. Je sais où se cachent les failles parce que je les ai vécues de l'intérieur. Pas dans un livre. I spent years building exactly the kind of systems I now audit. I know where vulnerabilities hide because I lived them from the inside. Not from a textbook.

Analyste-Programmeur Sénior
Grande banque canadienne · Microservices bancaires · 15+ APIs
2020–2025
Analyste Système TI
The Weather Network · Infrastructure multi-plateformes
2017–2020
Développeur Full-Stack
I2V / Novo3bi · Solutions e-commerce & web
2015–2017
Certifications
Certifications
Google Cybersecurity Professional
Google · 2025
Cisco Ethical Hacker
Cisco · 2025
Swagger Hub API Owner
SmartBear · 2022
Java Spring OWASP
OWASP · 2020
PSPO — Product Owner
Scrum.org · 2021
Azure / AWS Cloud
DevSecOps · Opérationnel
Expertise technique
Technical expertise

Je parle le
langage de vos
architectes
I speak your
architects'
language

Quand je détecte une faille dans votre spec OpenAPI, je peux aussi vous montrer comment la corriger dans votre code Spring Boot. C'est la différence entre un auditeur qui coche des cases et quelqu'un qui a vraiment construit ces systèmes. When I find a vulnerability in your OpenAPI spec, I can also show you exactly how to fix it in your Spring Boot code. That's the difference between an auditor checking boxes and someone who actually built these systems.

Java Spring Boot OpenAPI 3.0 Kafka Docker OWASP Azure · AWS GitHub Actions SonarQube Kubernetes DDD PostgreSQL · Oracle
securapi_scan.py — analyse en cours
1# OWASP API Security Top 10 · 2023
2class SecurAPIEngine:
3
4 def scan(self, spec):
5 findings = []
6 findings += self.check_bola(spec)
7 findings += self.check_broken_auth(spec)
8 findings += self.check_ssrf(spec)
9 # ... 7 more rules
10 score = risk_score(findings)
11 return {
12 "score": score,
13 "critical": count(findings, "CRITICAL"),
14 "findings": findings
15 }
▶ Résultat — demo_banquedemo_api.json ▶ Result — demo_banquedemo_api.json
34
Score
7
CRITICAL
10
HIGH
6
MEDIUM+
Processus d'analyse
Analysis process

Comment l'IA disséque vos APIs How AI dissects your APIs

Donnez-moi votre fichier OpenAPI. En moins de 90 secondes, je détecte ce que la plupart des équipes mettent des mois à trouver, si elles le trouvent. Hand me your OpenAPI file. In under 90 seconds, I detect what most teams take months to find, if they ever do.

OpenAPI / Swagger
OpenAPI / Swagger
JSON · YAML · v2/v3
01
Parsing
Parsing
Décomposition spec
Spec decomposition
02
OWASP Engine
API Top 10 · 2023
03
AI Analysis
Détection anomalies
Anomaly detection
04
Scoring
Scoring
Risk 0–100
05
Rapport
Report
PDF · HTML · JSON
API1 · API5
Authorization
Authorization
Vérifie BOLA, BFLA, accès non autorisés aux objets et fonctions
Checks BOLA, BFLA, unauthorized access to objects and functions
API2 · API8
Authentification
Authentication
JWT, OAuth2, HTTP Basic, TLS, headers de sécurité manquants
JWT, OAuth2, HTTP Basic, TLS, missing security headers
API3 · API9
Données sensibles
Sensitive data
PAN, PIN, mots de passe exposés, propriétés non restreintes
PAN, PIN, passwords exposed, unrestricted properties
API4 · API6 · API7
Consommation & flux
Consumption & flows
Rate limiting, pagination, SSRF, flux métier non protégés
Rate limiting, pagination, SSRF, unprotected business flows
APIs analysées · 2025
APIs analyzed · 2025

51 APIs scannées 51 APIs scanned

J'ai analysé 51 APIs publiques utilisées par les plus grandes institutions. Score moyen : 56.3/100. La plupart ne passeraient pas un audit PCI-DSS. I analyzed 51 public APIs used by major institutions. Average score: 56.3/100. Most wouldn't pass a PCI-DSS audit.

UK Open Banking
Accounts API
44
UK Open Banking
Payments API
60
Plaid
Financial Data API
47
Stripe
Payments API
53
Adyen
Checkout API
36
Wise
Platform API
56
Moov Financial
Banking API
59
Yapily
Banking API
73
Open Payments
GNAP / Interledger
63
GoCardless
Payments API
49
Mifos / Fineract
Core Banking API
49
Mambu
Core Banking
45
Temenos Transact
Core Banking
33
Finastra
Open API Platform
65
Coinbase
Advanced Trade API
40
Binance
Exchange API
61
Kraken
REST API
47
Experian
Credit API
62
Equifax
Credit Bureau API
56
SWIFT GPI
Banking Infrastructure
70
Canada Open Data
Government of Canada
31
USA Data.gov
US Federal Government
42
EU Open Data Portal
European Union
52
USA Census Bureau
US Census API
36
IRS e-File
IRS USA
35
FDA Drug Database
FDA USA
60
World Bank Data
World Bank
48
IMF Data
IMF
59
Bank for Int'l Settlements
BIS · Central Banking
74
ACORD Insurance
Insurance Standards
66
TD Bank
Open Banking API · CA
41
RBC Royal Bank
Banking API · CA
45
Revenu Québec
Tax API · Québec Gov
33
US Federal Reserve
FRED Economic Data API
55
SEC EDGAR
Financial Filings API · US
38
CFPB
Consumer Finance API · US
44
FinCEN / US Treasury
AML Reporting API · US
29
Ontario Digital
Provincial Gov API · CA
37
OpenAI
GPT API Platform
73
Anthropic Claude
AI API Platform
70
Hugging Face
Inference API
71
Google Vertex AI
AI Platform
74
Azure OpenAI
Microsoft AI Service
73
Cohere
NLP API
60
Replicate
ML Models API
56
Stability AI
Image Generation API
59
Mistral AI
LLM API
77
Together AI
Open Source LLMs
80
10x Banking
Banking Platform
63
Thought Machine
Vault API
35
Apache Fineract
Core Banking
61
-- /100
0
Critical
0
High
0
Medium
0
Low
What impacts the score