Formation API REST : concevoir, sécuriser, documenter et tester une API que d'autres développeurs utilisent sans avoir à vous appeler

Que saurez-vous faire à la fin de la formation, et qu'est-ce qu'elle laisse de côté ?

Une API a des utilisateurs que vous ne rencontrerez peut-être jamais : le développeur de l'application mobile, l'équipe technique d'un partenaire, la personne qui reprendra le code dans trois ans. Tous vont deviner votre intention à partir de ce que renvoie le serveur. Cette formation apprend à concevoir depuis leur place : un contrat lisible avant le code, des réponses prévisibles, des refus explicites, une documentation qui suffit. Elle traite ensuite ce qui fait tomber les API en production, à savoir les contrôles d'accès oubliés, les jetons éternels et les listes sans limite.

À la fin des trois jours, chaque participant a produit et défendu une API complète. Un contrat OpenAPI 3.1 validé par un linter. Son implémentation en Laravel 13, avec des ressources qui filtrent les champs, une pagination plafonnée et un format d'erreur unique. Une authentification par jetons à durée limitée et à capacités restreintes. Des tests qui prouvent qu'un appelant ne peut ni lire ni modifier l'objet d'un autre. Une documentation qu'un collègue a suivie sans aide jusqu'à son premier appel réussi, et un plan écrit pour la prochaine version.

Plusieurs sujets voisins ont leur propre formation. Les bases du framework (routes, Eloquent, authentification par session, déploiement) sont traitées dans la fiche Laravel et PHP, reliée en bas de page ; les bases de PHP et de MySQL dans la formation au développement web. Utiliser l'API d'un autre éditeur depuis n8n ou Make, sans écrire de code, relève de la fiche Intégrations API en no-code et low-code. Appeler un modèle d'IA depuis un logiciel en service se travaille dans la formation intégrer l'IA dans ses logiciels existants. GraphQL et gRPC sont seulement situés par rapport à REST.

La formation ne livre pas non plus une API à votre place. Si l'enjeu est d'obtenir rapidement un connecteur ou une API métier en production, la prestation API REST et intégrations répond mieux. Les deux se combinent souvent : une API construite par un prestataire, puis une équipe interne formée pour la relire, la tester et la faire évoluer sans repartir de zéro à chaque demande d'un partenaire.

Avec quelle version d'OpenAPI écrit-on le contrat, et pourquoi pas avec la plus récente ?

Selon l'OpenAPI Initiative, la version 3.2.1 de la spécification OpenAPI a été publiée le 10 septembre 2026. Elle permet de décrire une API HTTP sans dépendre d'aucun langage, dans un document JSON ou YAML que les personnes comme les programmes savent lire ; ses schémas s'appuient sur JSON Schema dans sa version 2020-12. Elle connaît cinq types de mécanismes de sécurité : apiKey, http, oauth2, openIdConnect et mutualTLS. C'est le texte que l'on ouvre en séance pour trancher une question de syntaxe, plutôt qu'un tutoriel de blog.

Le contrat du fil rouge s'écrit pourtant en 3.1, et ce choix fait partie de la leçon. Les outils suivent la norme avec retard : la page du dépôt de Spectral, lue le 5 octobre 2026, annonce la prise en charge d'OpenAPI 2.0, 3.0 et 3.1, et Scramble indique produire des documents au format 3.1.0. Rédiger en 3.2 dès aujourd'hui, c'est risquer qu'un linter, un générateur de documentation ou un générateur de clients refuse le fichier. On choisit une version en vérifiant toute la chaîne d'outils, pas en retenant le numéro le plus élevé.

Deux méthodes coexistent dans les équipes. Le contrat d'abord : on écrit le fichier à la main, on le fait valider par les consommateurs, puis on vérifie que le code le respecte. Le code d'abord : on développe, et un outil comme Scramble ou Scribe produit la description. La formation pratique les deux, dans cet ordre, puis compare les fichiers obtenus. Les écarts sont instructifs : un champ oublié dans une ressource, un code d'erreur jamais décrit, un paramètre de pagination que le générateur n'a pas vu. Chaque équipe repart en sachant lequel des deux documents fait foi chez elle.

Que montre la revue d'une API réelle, celle du découpage administratif du Bénin ?

Le dépôt public bj-decoupage contient une API écrite par Richard SALANON avec Laravel 10 : selon l'historique GitHub consulté le 5 octobre 2026, son premier commit date du 19 mars 2024 et le dernier du lendemain. Ses routes, toutes en lecture, suivent la hiérarchie du pays, des départements aux communes, aux arrondissements puis aux quartiers, et désignent les parents par leur nom. Les contrôleurs portent des annotations en français destinées à Scribe, présent parmi les dépendances de développement, qui en tire la documentation. Un projet réel, petit et public : exactement ce qu'il faut pour une revue honnête.

La revue fait apparaître ce qu'un participant doit savoir repérer seul. Appelée sans paramètre, la route des quartiers renvoie la liste entière en une seule réponse ; avec la pagination, la taille de page demandée n'a pas de plafond. L'OWASP range ces deux points sous la consommation de ressources sans limite. Une recherche sans résultat répond 404 avec un message, là où beaucoup de clients attendent un 200 et une liste vide. Aucune version n'apparaît dans les adresses, et le dossier des tests ne contient que l'exemple livré avec le framework.

Rien de cela n'est grave pour un référentiel de données publiques en lecture seule, et c'est l'intérêt de l'exercice : peser chaque défaut selon l'usage. Le même choix deviendrait dangereux sur des commandes ou des données personnelles. Le calendrier compte aussi : selon les notes de version de Laravel, la version 10 ne reçoit plus de correctifs de sécurité depuis le 4 février 2025. Les participants rédigent donc un plan de reprise dans l'ordre : tests de caractérisation, pagination plafonnée, préfixe /v1 gardé pour les clients actuels, puis montée de version.

Que retenir de ces chiffres avant de concevoir votre propre API ?

Ils viennent de l'enquête annuelle d'un éditeur d'outils, Postman, et se lisent comme tels : ils décrivent surtout des équipes déjà équipées. Ils confirment pourtant ce que montrent les projets. REST reste la base, utilisée par 93 % des répondants, et la moitié d'entre eux manipulent aussi des webhooks, ce qui justifie le temps passé sur l'émission d'événements. Ce qui manque n'est pas la technique mais la discipline : 55 % des répondants se heurtent à une documentation incohérente ou périmée, et un tiers ne retrouvent pas les API déjà construites chez eux.

Une API que personne ne trouve ni ne comprend finit recodée à côté, avec ses propres failles. C'est pourquoi la documentation est ici un livrable vérifié par un autre participant, et non une tâche de fin de projet. L'écart sur les tests dit la même chose : deux tiers des équipes vérifient que leur code fonctionne, 17 % seulement qu'il tient la promesse faite à ses clients. La matinée du troisième jour sert à combler cet écart, avec des tests qui comparent les réponses réelles au contrat.

Reste le versionnage. Selon la même enquête, 60 % des équipes versionnent leurs API, mais 26 % seulement appliquent une numérotation qui dit si un changement casse quelque chose. Les clients découvrent alors la rupture en production. Depuis la RFC 9745, publiée en mars 2025, l'en-tête Deprecation annonce dans chaque réponse qu'une ressource est ou sera dépréciée ; combiné à l'en-tête Sunset, qui ne peut pas porter une date antérieure, il donne aux consommateurs une échéance lisible par leurs propres programmes.

Un fonds de formation continue peut-il prendre en charge la formation API REST ?

Aucune prise en charge n'est promise ici : chaque fonds décide selon ses propres règles, et seule sa réponse écrite engage. En Côte d'Ivoire, la page du FDFP consacrée à l'habilitation, consultée le 5 octobre 2026, l'exige de tout opérateur privé qui sollicite ses financements, centres de formation internes compris, en dispense les structures situées hors du pays, et l'accorde pour une année. Au Bénin, le FODEFCA fonctionne selon les statuts approuvés par le décret n° 2022-286 du 11 mai 2022. Au Sénégal, le 3FPT a un guichet pour le personnel des entreprises et un autre pour les demandes individuelles, avec un dépôt en ligne.

En France, France Compétences rappelle que, depuis le 1er janvier 2022, un prestataire n'accède aux fonds publics ou mutualisés qu'avec la certification Qualiopi. Richard SALANON n'est pas certifié Qualiopi et n'est ni habilité ni agréé par aucun fonds. Avant de signer, transmettez au fonds le programme demi-journée par demi-journée et le devis, conservez sa réponse, et budgétez la formation comme si elle n'était pas financée. Les feuilles de présence, l'évaluation finale et l'attestation servent quel que soit le dispositif ; les règles par pays figurent sur la page formation en entreprise.

Connexion, paiements, données personnelles, langue : que change le contexte local pour une API ?

Selon les chiffres 2025 de l'UIT, 36 % des habitants de l'Afrique utilisent Internet, contre 74 % de la population mondiale et 23 % dans les pays à faible revenu. Une API destinée à des applications utilisées en Afrique francophone doit donc économiser chaque octet : réponses paginées et légères, champs choisis par le client quand c'est utile, compression, et en-têtes qui évitent au téléphone de télécharger de nouveau ce qui n'a pas changé. Les ressources JSON:API de Laravel 13, présentées le premier après-midi, gèrent justement les ensembles de champs partiels et le paramètre include.

Les paiements par Mobile Money arrivent souvent en deux temps : l'API enregistre une commande, puis reçoit plus tard la confirmation de l'agrégateur. Le contrat prévoit donc des statuts intermédiaires (en attente, confirmé, échoué) et des montants en francs CFA stockés en nombres entiers. Le choix de l'agrégateur relève du comparatif FedaPay, KKiaPay et CinetPay. Pour les requêtes répétées après une coupure, l'en-tête Idempotency-Key est très répandu sans être normalisé : le brouillon de l'IETF qui le décrivait, révisé le 15 octobre 2025, a expiré sans devenir une RFC. On le décrit donc dans son propre contrat.

Avec des données personnelles, un défaut de contrôle d'accès ne fait pas fuir une fiche, mais une base entière. Au Bénin, la loi n° 2017-20 du 20 avril 2018 portant code du numérique encadre ces traitements et leur transfert hors du pays. En France, la CNIL a adopté par la délibération n° 2023-050 du 25 mai 2023 une recommandation technique sur le partage de données par API ; sa synthèse du 24 novembre 2023 insiste sur l'authentification, des droits réévalués régulièrement, la transmission des seules données nécessaires, la journalisation, le chiffrement et une documentation tenue à jour. Le programme recoupe ces points un à un.

Les normes, la spécification et la documentation des outils sont en anglais ; les séances et les supports sont en français, ou en anglais à la demande. La documentation que les participants écrivent pour leurs propres consommateurs se rédige dans la langue de ces derniers : exemples en français, champ detail des erreurs compréhensible par un développeur francophone, formats de date et de numéros de téléphone locaux écrits noir sur blanc dans le contrat. Un développeur d'Abidjan ou de Bruxelles doit pouvoir réussir son premier appel sans traduire quoi que ce soit.

Pourquoi apprendre à concevoir des API avec Richard SALANON ?

Richard SALANON est consultant en digitalisation et développeur logiciel, basé à Cotonou, au Bénin. Il crée des sites, des applications web et mobiles, des automatisations et des intégrations d'intelligence artificielle, déploie Odoo et Dolibarr, et forme les équipes à ces outils, pour des entreprises d'Afrique francophone, d'Europe et du Canada.

Ses API se lisent en public. Outre le dépôt du découpage administratif écrit avec Laravel en 2024, son compte GitHub contient l'API REST d'Allo Artisan, plateforme béninoise de mise en relation entre particuliers et artisans, écrite en TypeScript avec NestJS et PostgreSQL. Ses dépendances, lues le 5 octobre 2026, comprennent le module Swagger de NestJS pour la documentation, un module de limitation du débit et Jest pour les tests. Entre ces deux projets se dessine le chemin que la formation fait parcourir en trois jours : de routes qui fonctionnent à une API documentée, limitée et testée.

Formé à EPITECH (2022), il travaille dans le numérique depuis 6 ans, a créé Wapy, un assistant WhatsApp à intelligence artificielle pour les entreprises d'Afrique francophone, et co-fondé Audyxa. Il indique avoir formé plus de 200 personnes au numérique, à l'IA, à l'automatisation et aux ERP, et a travaillé, sur place ou à distance, dans 15 pays d'Afrique francophone, d'Europe et d'Amérique du Nord. Il n'est certifié par aucun éditeur.

Sa manière de former tient en engagements vérifiables : un test de positionnement avant le devis, huit participants au plus, une source primaire derrière chaque règle, aucune donnée réelle dans les exercices, une évaluation sur l'API d'un autre participant et une réponse sous 24 heures. Son parcours est détaillé sur la page Richard SALANON, les pays où il intervient sur la page zones d'intervention, et les autres formations du domaine sur la page formations en développement.