Un développeur a publié un rapport sur le tracker d'issues GitHub public de Postman, affirmant que la célèbre application de test d'API aurait installé silencieusement et automatiquement des plugins d'IA sur macOS, avant de tenter de partager des données API. L'issue, publiée dans le dépôt postmanlabs/postman-app-support, décrit l'ouverture de Postman sur un Mac et un comportement inattendu de l'application.
Cette allégation compte parce que Postman est utilisé par des millions de développeurs pour stocker des clés API, des jetons et des collections de requêtes. Si une application installe des extensions sans consentement clair ou tente de transmettre des données API, cela soulève immédiatement des questions de consentement, de confidentialité et de permissions par défaut des outils de développement.
Ce que rapporte l'issue GitHub sur Postman
Selon le texte de l'issue, ouvrir Postman sur un Mac aurait déclenché une installation automatique de plugins d'IA. Le même rapport indique que l'application a tenté de partager toutes les données API. La description reste brève, et l'entrée du tracker n'inclut ni analyse technique complète, ni capture de paquets, ni étapes de reproduction.
Comme l'allégation provient d'une issue déposée par un utilisateur et non d'un avis de sécurité officiel, elle doit être traitée comme une accusation jusqu'à ce que Postman ou des chercheurs indépendants confirment les faits. Le message s'est néanmoins propagé rapidement parmi les développeurs, qui utilisent Postman quotidiennement.
Pourquoi les données API sont sensibles
Les espaces de travail Postman contiennent souvent des clés API actives, des jetons d'authentification, des variables d'environnement et des détails sur des points de terminaison internes. Ces données ont de la valeur : des clés divulguées peuvent servir à abuser de services payants, atteindre des systèmes privés ou extraire des informations clients.
