APIaxess

APIaxess est un outil de test d'intrusion orienté API, présenté par son auteur comme une alternative gratuite à Burp et Caido, avec « zéro configuration ». Il fournit un navigateur déjà routé par son proxy et un émulateur Android qui fait déjà confiance au certificat, ce qui évite la phase d'installation habituelle. Il capture en direct le trafic HTTP/1.1, HTTP/2, WebSocket, Server-Sent Events, gRPC-Web et GraphQL, analyse un fichier APK pour retrouver les opérations d'API cachées dans le code, rejoue et fait varier les requêtes (fuzzing) puis fusionne le tout en une liste de points d'accès exportable en OpenAPI 3.1, Postman 2.1, HAR ou client Python. Côté prix, la page de téléchargement et la FAQ sont explicites : outil gratuit et open source sous licence Apache-2.0, sans offre payante, sans limite de postes ni fonction retenue, sans compte ni clé de licence.

Le logiciel, en version 0.1.0, existe pour Windows x64 et Linux amd64 (Debian et Ubuntu) ; macOS est annoncé comme la prochaine version. Le site et la documentation sont en anglais uniquement. Les données de session restent dans un fichier SQLite local et l'éditeur indique l'absence de télémétrie, hormis une vérification quotidienne de mise à jour désactivable. Limites : l'installateur Windows pèse environ 457 Mo, les modules d'analyse et d'émulation Android ajoutent plusieurs gigaoctets, les installateurs ne sont pas encore signés (Windows affiche un avertissement) et l'API de contrôle interne est déclarée instable. Réservé à des personnes qui savent interpréter un test de sécurité, et à n'utiliser que sur des systèmes que l'on est autorisé à tester.