Multisourcing et gestion fédérée : avec le temps, ce schéma s’affirme pour la gestion des API.

Gartner le souligne dans la synthèse du Magic Quadrant qu’il dédie à ce marché.

D’une année sur l’autre, 6 fournisseurs sont restés « leaders ». Aucun n’a corrigé tous les défauts que le cabinet américain lui reprochait en 2025. Plus précisément :

• Boomi au niveau de l’intégration avec les passerelles tierces
• Google sur la stratégie commerciale, l’expérience utilisateur et la tarification
• Gravitee concernant sa notoriété et la concentration géographique de sa clientèle
• IBM pour sa difficulté à vendre hors de sa base installée
• Kong sur la stratégie sectorielle, la présence géographique et l’expérience utilisateur
• Salesforce sur la tarification

L’an dernier, le franco-américain Axway faisait partie des « leaders ». Il a rétrogradé chez les « challengers ». Sensedia et WSO2 ont fait le chemin inverse.

Le Magic Quadrant se structure en deux axes. L’un, étiqueté « exécution », reflète la capacité à répondre au besoin (tarification, expérience client, qualité des produits/services…). L’autre, dit « vision », traduit les stratégies (ventes, marketing, innovation…).

La situation sur l’axe « exécution » :

Rang	Fournisseur	Évolution annuelle
1	IBM	+ 1
2	Kong	+ 2
3	Salesforce (MuleSoft)	=
4	Microsoft	+ 5
5	Gravitee	+ 2
6	Axway	=
7	Google	– 6
8	WSO2	=
9	Microsoft	=
10	SAP	=
11	Sensedia	+ 1
12	AWS	– 1
13	Workato	+ 2
14	Tyk	=
15	Postman	+ 1
16	SmartBear	– 3
17	Traefik Labs	nouvel entrant

Sur l’axe « vision » :

Rang	Fournisseur	Évolution annuelle
1	Kong	=
2	IBM	+ 3
3	Google	+ 3
4	Salesforce (MuleSoft)	=
5	Boomi	– 3
6	Gravitee	– 3
7	WSO2	+ 7
8	Sensedia	+ 7
9	Postman	– 1
10	Tyk	– 3
11	Axway	– 2
12	Microsoft	– 1
13	Workato	– 1
14	SmartBear	– 4
15	SAP	– 2
16	AWS	+ 1
17	Traefik Labs	nouvel entrant

Des acquisitions bien intégrées chez Boomi…

L’an dernier, Gartner avait noté que Boomi dépendait désormais moins de la seule brique iPaaS pour se différencier, les acquisitions d’APIIDA et de TIBCO Mashery (mai 2024) ayant accompagné la refonte de l’offre et de la feuille de route.
Leur intégration a été efficace, confirme-t-il cette année en y ajoutant le rachat de Thru (transfert de fichiers géré ; mai 2025).

Autre bon point qu’on retrouve d’une année sur l’autre : l’extension de la présence commerciale. En 2025, Gartner avait mis en avant le renforcement des partenariats, en particulier avec AWS et ServiceNow. Il les mentionne à nouveau cette année, en plus de Snowflake. Et note la capacité de Boomi à toucher les profils d’acheteurs spécialisés sur l’intégration et sur l’IA.

Nouveauté cette année : un bon point sur l’innovation. Plus spécifiquement au titre des avancées sur l’IA agentique, dont témoignent Boomi Connect (MCP géré) et Boomi Orchestrate. Gartner salue les possibilités de combinaison avec des workflows déterministes.

… dont les solutions restent complexes à prendre en main

L’intégration avec les passerelles tierces peut s’avérer complexe, avait signalé Gartner en 2025. Il en dit tout autant cette année. Et parle plus globalement d’une plate-forme complexe à prendre en main.

Malgré des certifications et des « accélérateurs » pour des secteurs comme la santé et la distribution, l’attrait reste limité pour qui cherche des solutions verticales.

Boomi n’a, par ailleurs, pas encore développé à l’international la présence et la notoriété qu’il a développées en Amérique du Nord. Gartner se fait, en outre, l’écho des inquiétudes de clients sur la transparence tarifaire.

Google salué pour son rayon d’action…

L’an dernier, Google avait eu un bon point pour son outillage favorisant la conception d’API par des agents. Cette année, Gartner salue son positionnement « en première ligne » sur les passerelles IA et l’agentique. Et mentionne l’add-on Specification Boost, qui améliore la lisibilité et la « découvrabilité » des API pour les agents.

En 2025, Google était crédité d’un bon point pour la stabilité de son offre et sa capacité à couvrir les cas d’usage les plus complexes. Cette année, Gartner met l’accent sur la large diffusion de ses solutions dans les secteurs réglementés. Il y ajoute la sécurité multicouche et les fonctionnalités IA qui favorisent la prise en charge des environnements « difficiles » (banque, production industrielle).

… mais toujours pas pour sa tarification

D’une année sur l’autre, même réflexion sur la stratégie commerciale : Google positionne ses produits (Apigee et Google Cloud API Gateway) comme des compléments à GCP plutôt que des solutions autonomes.

La complexité de l’offre reste d’actualité : il faut beaucoup d’expertise pour l’implémenter et l’exploiter. La tarification demeure aussi un irritant. Elle « reste une des plus grosses barrières à un usage soutenu », pour reprendre les mots de Gartner. Lequel avait, l’an dernier, pointé les doutes de certains clients de longue date quant au rapport coût/bénéfice.

De l’indépendance et de la vision chez Gravitee…

Gravitee a su rapidement proposer une passerelle IA gérant MCP, avait souligné Gartner en 2025. Il va un peu plus loin cette année : l’entreprise née à Lille a vite eu la vision d’un catalogue d’interfaces orienté événements. Et elle a concrétisé, en lançant la plate-forme Gamma, l’unification de la gestion des API, des flux d’événements et des agents.

Gravitee a toujours pour lui une indépendance vis-à-vis de tout cloud, progiciel ou iPaaS. Et une approche de déploiement flexible avec gestion de la fédération.

… toutefois exposé à une acquisition

Gravitee manque toujours de notoriété. Surtout en Amérique du Nord, ajoute Gartner cette année.

La clientèle demeure largement concentrée en Europe (à près des deux tiers), le reste se trouvant pour l’essentiel en Amérique du Nord. Les acheteurs sur d’autres plaques géographiques se poseront la question du service et du support.

Gravitee est par ailleurs un des plus petits fournisseurs en termes de revenus. Cela l’expose, souligne Gartner, à un risque d’acquisition ; d’autant plus que parmi ses concurrents figurent certains des plus gros éditeurs mondiaux.

IBM avance une roadmap « intéressante » au croisement des agents IA et des API…

En 2025, IBM avait été salué sur la livraison de fonctionnalités IA (gestion des prompts et routage LLM, notamment). Cette année, Gartner apprécie son approche de la gouvernance des API et de leur rationalisation (identification des doublons ou quasi-doublons + serveur MCP d’enrichissement de métadonnées). Il y ajoute une feuille de route « intéressante » sur la gestion des patterns applicatifs qui émergent à la croisée des agents IA et des API.

La diversité du réseau commercial et de support avait été un autre point fort évoqué en 2025. Cette année, Gartner met l’accent sur son extension, tant au niveau des partenaires intégrateurs que sur les marketplaces des hyperscalers.

… mais peine toujours à séduire hors de sa base installée

D’une année sur l’autre, un constat demeure : IBM a du mal à vendre ses solutions de gestion des API au-delà de sa base installée. Par ailleurs, il a peu d’offres sectorielles hors banque et finance. Quant à sa stratégie commerciale, elle est focalisée sur les acheteurs IT, peinant à toucher les autres métiers à l’heure où les budgets se décentralisent.

Kong s’est construit une vraie visibilité…

La génération d’API, de specs et de serveurs MCP par IA avait valu un bon point à Kong en 2025. Tout comme la passerelle Kafka (Event Gateway) intégrée à son maillage de services.
Cette année, Gartner insiste sur la brique Context Mesh (context engineering), la gestion des identités machine et les capacités de monétisation des agents, modèles et serveurs MCP. Il apprécie aussi certains éléments de roadmap, comme l’intégration d’OpenMeter et les sandbox d’exécution de code.

L’an dernier, le cabinet américain avait noté la visibilité que Kong s’est construite à renfort d’événements, de partenariats et de présence sur les principales marketplaces. Cette année, il relève le niveau d’adoption de ses outils open source et sa capacité à toucher à la fois les populations techniques et métiers.

… mais sa tarification reste difficile à lire

Comme en 2025, il n’y a pas de solutions verticales au catalogue de Kong. Son empreinte géographique demeure limitée (40 % des revenus aux États-Unis, 35 % en EMEA).

L’an dernier, Gartner avait pointé la courbe d’apprentissage nécessaire pour prendre en main les solutions de Kong. Il avait aussi souligné la confusion que pouvait susciter la tarification basée sur les services, assortie de frais supplémentaires pour certains éléments (portails, tests, analytics).
Mêmes remarques cette année, en plus du constat d’une prise en charge limitée de la fédération des passerelles tierces.

MuleSoft s’est bien emparé du sujet IA…

L’intégration de l’offre de MuleSoft avec celle de Salesforce a contribué à attirer de la clientèle, avait affirmé Gartner en 2025. Tout en saluant plus globalement la présence commerciale et le réseau de partenaires. Il en dit à peu près autant cette année, en mettant l’accent sur la croissance et la stabilité opérationnelle de l’activité de MuleSoft.

Autres bons points : la capacité à répondre aux défis liés à l’adoption de l’IA (shadow AI, prolifération des serveurs MCP, gestion des coûts) et de récentes améliorations telles que la conception d’API en langage naturel ou la conversion d’API en outils agentiques.

… mais reste orienté sur l’écosystème Salesforce

Pour la gestion des API, MuleSoft est l’un des fournisseurs les plus chers, avec une structure de prix complexe. Ce constat valait l’an dernier… et vaut toujours cette année.

Complexe est aussi la prise en main de la solution (défis de paramétrage, en particulier), en plus de la difficulté à trouver des développeurs spécialisés.

Des fonctionnalités peuvent se révéler superflues pour qui n’utilise pas Salesforce. Beaucoup sont effectivement modelées sur des cas d’usage spécifiques à cet écosystème.

Sensedia, avancé sur la gouvernance des API…

Nouveau « leader » de la gestion des API, le brésilien Sensedia se distingue par ses investissements dans la gouvernance et son positionnement sur la « souveraineté ». Il a aussi pour lui une expertise du milieu bancaire, dont il parvient à faire un atout. Sur le plan géographique, remarque très spécifique : fournisseur intéressant pour des déploiements en Amérique du Sud vu sa présence et sa connaissance des réglementations locales.

… moins sur les fonctionnalités IA

Plus des trois quarts du revenu de Sensedia provient d’Amérique du Sud. Les investissements réalisés sur les autres plaques géographiques ne se sont globalement pas encore traduits par des ventes. En parallèle, la notoriété du fournisseur est limitée, en Amérique du Nord comme en Europe. La livraison de fonctionnalités IA intervient généralement en décalage par rapport aux autres « leaders ». Au final, Sensedia est en retard sur des capacités comme le registre MCP et la découverte orientée agents.

Modularité contractuelle chez WSO2…

Sur la partie produit, hormis les investissements dans l’IA, WSO2 se distingue par l’intégration de Moesif (acquis en mai 2025 ; monétisation des API), l’extension des capacités de fédération et l’adoption complète de la spécification Arazzo.

L’éditeur aéricain est revenu à la croissance et sa maison mère EQT semble le percevoir comme un actif stratégique – elle investit à la fois dans ses produits commerciaux et open source. Gartner apprécie aussi la contractualisation modulaire et la flexibilité de déploiement.

… mais une empreinte SaaS limitée

Comme Sensedia, WSO2 est un nouveau « leader »… et comme lui, il manque de notoriété. L’approche « plate-forme modulaire » manque encore d’écho et l’approche commerciale demeure centrée sur les profils techniques.

Gartner estime que le message axé sur les déploiements hybrides alors que la brique de monétisation n’est disponible qu’en SaaS peut engendrer de la confusion.

Les déploiements SaaS, justement, se limitent à une zone, aussi bien pour l’Europe que pour l’Amérique du Nord. Quant à la page de statut, Gartner la juge « rudimentaire », donnant peu d’informations utilisables.

Illustration © Murrstock – Adobe Stock

The post Gestion des API : l’IA ne lève pas (tous) les irritants appeared first on Silicon.fr.

Depuis que X a shooté Nitter et XCancel à grands coups de lettres d'avocat fin août, lire X sans compte c'est redevenu une méga galère. Mais il reste pourtant un outil que plein de gens utilisent sans le savoir, parce qu'il tourne dans les coulisses de Discord et Telegram. Son nom ?

FxTwitter !

À la base, le projet FxEmbed , qui fait tourner FxTwitter et FixupX, sert à réparer les aperçus de liens X. Vous mettez fx devant twitter.com (ou fixup devant x.com) et Discord affiche enfin la vidéo, le sondage ou toutes les images du post. Sauf que derrière, il y a surtout une API publique et gratuite, api.fxtwitter.com, qui affiche n'importe quel post public en JSON sans avoir besoin de compte ou de clé API facturé une couille. Ché Elon !

Alors oui, les rageux diront que x.com affiche encore n'importe quel post isolé à un visiteur déconnecté, même les longs, mais sur un profil, ça s'arrête à 5 posts avant de vous demander de "Continuer sur X". Et surtout, ça ne vous affichera pas les vidéos et ça ne vous permettra pas d'avoir ça sous la forme d'un flux RSS.

Alors que FxTwitter, lui, nous sort tout ça sans avoir à ouvrir x.com !

Lire un post dans le navigateur

Maintenant pour nos tests, prenons un vieux de la vieille, un vétéran, le post numéro 20 de @jack, publié le 21 mars 2006 et dont l'URL est x.com/jack/status/20. Le nombre à la fin, c'est l'identifiant du post.

Collez tout simplement cet identifiant au cul de api.fxtwitter.com/2/status/ et ouvrez ça dans votre navigateur :

https://api.fxtwitter.com/2/status/20

Et vous obtiendrez un gros pavé en JSON avec dedans le texte du post dans le champ "text", l'auteur dans "author", et un peu plus bas vous trouvez les likes, les reposts, les réponses et la date.

Le post 20 de @jack vu par l'API : le texte dans le champ text, l'auteur juste en dessous.

Et si vous avez la flemme de recopier l'identifiant (vous êtes toujours dans l'abus, vous ^^), remplacez simplement x.com par api.fxtwitter.com dans l'adresse complète du post et voilà ! Ça marche à tous les coups, même si c'est le retour de l'ancienne version de l'API, conservée pour la compatibilité.

Le texte et sa traduction avec curl

Pour utiliser ça avec un script, je vous conseille d'utiliser curl pour faire la requête et jq pour trier tout ça ( jq, c'est le petit utilitaire qui extrait un champ précis d'un JSON ).

Ainsi, pour n'afficher que le texte du post :

curl -s "https://api.fxtwitter.com/2/status/20" | jq -r '.status.text'

Et si le post n'est pas en français, ajoutez ?lang=fr à l'adresse et hop, magie magie, l'API glisse alors un bloc "translation" dans la réponse, avec le texte en français :

curl -s "https://api.fxtwitter.com/2/status/20?lang=fr" | jq -r '.status.translation.text'

Le texte d'origine du post 20, puis sa traduction demandée avec ?lang=fr.

La traduction provient de X lui-même quand elle existe (sur ce post, le champ "provider" indiquait "grok"), sinon l'API se rabat avec joie sur un service de traduction. Et pour un profil, c'est le même principe avec /2/profile/ : api.fxtwitter.com/2/profile/jack qui affichera la bio de @jack, son nombre d'abonnés et sa date d'inscription. Les autres "routes" qui récupèrent les fils, les abonnés ou les médias d'un compte sont dans la documentation de l'API .

Elle est pas belle la vie ?

Récupérer une vidéo

Maintenant, on va rentrer dans le dur parce qu'ici, pour récupérer une vidéo, vous n'avez pas besoin d'API. Suffit de jouer avec l'adresse.

Mettez d. devant fxtwitter.com et le lien vous renverra directement le fichier, sans HTML autour. Avec curl, ça donne ça (le -L sert à suivre la redirection) :

curl -L -o video.mp4 "https://d.fxtwitter.com/NASA/status/2102748685792596449"

Grâce à ça, on peut par exemple récupérer le MP4 de cette vidéo bien kitchou de 30 secondes de la NASA. Et ajouter .mp4 à la fin d'une adresse fxtwitter.com fera la même chose. Et pour choisir la qualité, jetez un œil au JSON du post, où la liste des formats de media.videos donne chaque version de la vidéo avec son adresse et son bitrate.

Suivre un compte en RSS

Dernier truc que je trouve pratique avec cet outil c'est que chaque compte public peut avoir son flux RSS. Il suffit d'ajouter /feed.xml après le nom du compte :

https://fxtwitter.com/korben/feed.xml

Collez ensuite ça dans votre lecteur RSS et vous suivrez le compte X de vos rêves sans avoir à y mettre les pieds. Le flux remonte ainsi les 90 derniers posts par défaut, et le paramètre ?count= permet de réduire ce nombre ou de l'augmenter jusqu'à 100 maximum. Et si vous remplacez feed.xml par media.xml vous ne verrez dans le flux que les posts contenant des photos ou des vidéos. Et si vous ajoutez ?with_replies=1 vous verrez aussi les réponses.

Ce qui coince

Maintenant ce qui peut être relou, c'est que l'API n'encaisse que 1 000 requêtes par minute et par adresse IP. Par contre, si vous pensiez absorber tout x.com sans la moindre vergogne, vous allez vite vous retrouver coincé.

Attention aussi au domaine que vous tapez. Les seuls officiels sont fxtwitter.com, twittpr.com, fixupx.com, xfixup.com et fxbsky.app pour Bluesky. Je précise ça parce qu'il y a eu, par exemple un fxtwiter.com avec un t en moins, qui a été signalé sur le dépôt du projet et qui renvoyait les gens vers des arnaques.

Comme d'hab, une faute de frappe et c'est le drame... Soyez très vigilants.

Maintenant, si vous êtes un petit peu curieux comme moi, vous vous êtes sûrement demandé comment FxTwitter récupérait tout ça ??

Eh bien, comme le fait Nitter, ou plutôt comme le faisait Nitter , il récupère les données en utilisant de vrais comptes X sur lesquels il répartit les requêtes. Et comme c'est ce qui a été reproché à Nitter, je me dis qu'il y a des chances qu'à un moment FxEmbed soit visé aussi.

On verra bien, mais si un jour le service tombe, sachez que le code est bien dispo sous licence MIT, donc vous pouvez le faire tourner chez vous sans problème dans un Docker. Et si vous n'utilisez pas de compte X connecté dessus, ça marchera quand même avec, c'est vrai, des limites de requêtes plus basses et surtout sans accès au contenu NSFW (Et ça, je sais que ça vous rend super triste.)

Source : GitHub

Avec la généralisation des caméras LAPI et l’allongement de la durée de conservation des plaques d’immatriculation, l’État promet une lutte renforcée contre la criminalité.

Dans la série "la religion c'est que des problèmes", voici un épisode que je n'avais pas vu venir. Click to Pray, l'application de prière officielle du Pape, a servi gratos les noms, les adresses mail et les dates de naissance de ses 719 517 inscrits à qui voulait bien les demander.

C'est le chercheur BobDaHacker qui a signalé le trou début janvier et si vous savez compter, oui oui, il a bien fallu 6 mois pour que quelqu'un daigne le boucher. Que voulez-vous, les voies du Seigneur sont impénétrables et visiblement sa boîte mail aussi.

L'appli avait été lancée par le pape François en 2019 depuis le balcon de la place Saint-Pierre, tablette brandie devant la foule. Elle appartient au Réseau Mondial de Prière du Pape, une fondation du Vatican, et tourne sur iOS, Android et en version web en 7 langues.

La faille se situait au niveau de l'adresse api.clicktopray.org/user/users/{id} qui renvoyait la fiche complète de n'importe quel compte, prénom, nom, pays, adresse mail, date de naissance et rôle. Aucune authentification demandée, il suffisait de taper l'adresse dans un navigateur.

Source : BobDaHacker

Les identifiants étant séquentiels et le débit n'étant pas limité, une simple boucle sur les 719 517 numéros suffisait à aspirer le fichier entier. Une requête par fidèle, comme pour l' ANTS ^^. Vous le savez maintenant, ça s'appelle un IDOR, pour Insecure Direct Object Reference et c'est quand le serveur vérifie que vous êtes bien connecté, mais jamais que les données réclamées vous appartiennent. Eh bien ici, il ne vérifiait même pas la première moitié.

BobDaHacker explique pourquoi la boulette revient sans arrêt : "la plupart des frameworks gèrent l'authentification pour vous, mais pas l'autorisation. Ils vérifient "est-ce que cette personne est connectée ?", mais pas "est-ce qu'elle a le droit de voir cette ressource précise ?"". Pourtant c'est la base, mais bon, bref...

Ce type de contrôle d'accès défaillant trône en tête de l'OWASP Top 10 depuis 2021, et l'IDOR en est probablement la variante la plus répandue. Pour apprendre à les repérer, je vous avais même montré WebGoat .

Ce qui est marrant, c'est que dans la base, le champ date de naissance s'appelle borned_date, ce qui n'est de l'anglais dans aucune langue. Et le rôle attribué au fidèle lambda, c'est "PRAYER". Votre fonction de péon sur l'application de prière du Pape, c'est donc prière. Ahaha !

Le vrai risque maintenant n'est pas vraiment la fuite en elle-même, mais plutôt ce qu'un escroc va pouvoir faire avec 700 000 adresses de ces gens inscrits pour prier, avec une institution de confiance à usurper. Un mail annonçant que le Saint-Père sollicite votre attention urgente, avec un lien qui imite celui du Saint-Siège, ça fonctionnera très bien je pense...

Dark Reading, qui a confirmé la faille de son côté, a noté que les identifiants les plus bas sont ceux des employés. Les premiers exposés étaient donc ceux qui auraient dû corriger. Mais le bouquet les amis, c'est l'authentification des mails. Ceux de l'appli ratent les contrôles de domaine, SPF, DKIM ou DMARC étant mal réglés, au point que la boîte du chercheur les a marqués comme suspects.

L'application officielle du Vatican envoyant donc déjà des mails qui ressemblent à du hameçonnage, un escroc qui n'aurait pas peur d'aller en enfer, n'a même pas besoin de soigner son imitation.

Arrive la partie qui pique de cette remontée de vuln... Le 3 janvier, BobDaHacker écrit à 9 personnes, l'adresse info générale, 6 membres du staff de clicktopray.org + 2 contacts du Réseau Mondial de Prière.

Puis il attend mais aucune réponse ne vient.

Alors rien ne bouge durant 6 mois. Puis en juillet il passe le dossier à Nate Nelson, de Dark Reading, qui contacte le service de presse. Silence là aussi. Alors l'article sort le 24 juillet, et Ô miracle (ça arrive parfois, oui oui) la faille est bouchée dans la foulée, sans un mot. Le chercheur l'a appris dans les commentaires Reddit qui parlaient de sa découverte.

Mais je vous garde le meilleur pour la fin, attendez... Ce que vous ne savez pas c'est que le Vatican s'est doté de son propre règlement de protection des données personnelles en avril 2024. Ça s'appelle le décret n° DCLVII et il réclame des "mesures de sécurité appropriées" et désigne nommément ceux qui doivent les appliquer. Ce décret a bien été promulgué, puis visiblement rangé dans un tiroir.

Ah et visiblement, l'URL qui leake continue toujours de répondre sans authentification mais ne renvoie plus que l'identifiant, le prénom et le nom. L'adresse mail a disparu, comme la date de naissance et le pays. Donc c'est un genre de demi-correctif puisque les noms restent énumérables un par un sans le moindre compte. Le chercheur juge ça acceptable sur une plateforme où l'on prie "ensemble". Moué, pourquoi pas.

Voilà, donc si vous avez un compte là-bas, partez du principe que votre adresse mail a circulé et que vous risquez d'avoir des appels du Pape, voire de Dieu lui-même qui vous demandera sûrement un virement en urgence. Je vais prier pour vous afin que ça n'arrive pas, mais sachez que ce scénario de la lose, je vous en parlais déjà à propos de la divulgation coordonnée de vulnérabilités , et il ne change jamais. Le chercheur alerte, l'éditeur ignore, et c'est la presse qui finit par débloquer....

Et BobDaHacker, lui, attend toujours son merci. Snif...

Source