Pentest de API: a porta dos fundos que ninguém testou
Auditoria ofensiva de APIs REST e GraphQL cobrindo autenticação, autorização, exposição de dados e lógica de negócio, alinhada ao OWASP API Security Top 10.
O que é pentest de API
Pentest de API é um teste de invasão autorizado contra as interfaces que ligam o seu app, o seu site e os seus parceiros aos dados da empresa. Um atacante não precisa da sua tela: ele conversa direto com a API, e qualquer validação que só existe no front-end deixa de existir. É por isso que falhas de autorização em APIs estão entre as causas mais comuns de vazamento de dados.
O teste cobre APIs REST e GraphQL, APIs internas usadas por apps mobile, webhooks e integrações com parceiros. Se a sua aplicação web também precisa de teste, veja o pentest em aplicações web.
O que avaliamos na sua API
Cobertura alinhada ao OWASP API Security Top 10, com foco em falhas de autorização e exposição de dados.
Autenticação de API
Tokens fracos, expiração inadequada e falhas em OAuth/JWT.
Autorização por objeto
BOLA/IDOR — acesso indevido a dados de outros usuários via manipulação de IDs.
Exposição excessiva de dados
Respostas de API que retornam mais dados do que o necessário.
Rate limiting e abuso
Ausência de limites permitindo brute force e scraping em massa.
Integrações e webhooks
Validação de origem, assinatura de payloads e replay attacks.
Lógica de negócio da API
Abuso de fluxos internos que não são visíveis na interface web.
OWASP API Security Top 10 (2023) em linguagem simples
A lista da OWASP com os riscos mais críticos em APIs é a base do nosso teste.
API1
Autorização por objeto quebrada (BOLA)
Trocar um ID na chamada e receber dados de outro cliente.
API2
Autenticação quebrada
Tokens, login e recuperação de senha que podem ser burlados.
API3
Autorização por propriedade de objeto
A API devolve ou aceita campos que o usuário não deveria ver ou alterar.
API4
Consumo irrestrito de recursos
Sem limites de uso: abuso, custo alto e indisponibilidade.
API5
Autorização por função quebrada
Usuário comum chamando endpoints de administrador.
API6
Acesso irrestrito a fluxos sensíveis
Automatizar compras, cadastros ou resgates em massa.
API7
SSRF
Fazer o servidor buscar endereços internos a pedido do atacante.
API8
Configuração de segurança incorreta
CORS aberto, mensagens de erro detalhadas, métodos desnecessários.
API9
Gestão de inventário inadequada
Versões antigas e endpoints esquecidos ainda no ar.
API10
Consumo inseguro de APIs
Confiar sem validar nos dados que chegam de APIs de terceiros.
Fonte: OWASP API Security Top 10 – 2023.
Como funciona o pentest de API
01
Escopo e autorização
Quais APIs, ambientes e perfis de usuário entram no teste, e o termo de autorização assinado.
02
Inventário de endpoints
Mapeamos endpoints documentados (OpenAPI, Postman) e procuramos os não documentados.
03
Teste manual por perfil
Testamos autenticação, autorização por objeto e por função, validação de dados e limites de uso.
04
Lógica de negócio
Exploramos de forma controlada os fluxos que a interface esconde: preços, saldos, aprovações, integrações.
05
Relatório
Resumo executivo e achados técnicos com severidade, evidência e correção, mapeados ao OWASP API Security Top 10.
06
Reteste
Confirmamos que os achados corrigidos foram fechados.
Perguntas sobre o pentest de API
Dúvidas comuns de quem está avaliando contratar um pentest ou auditoria de segurança.
Guias e páginas relacionadas
Entenda o pentest
Por setor
Sua API expõe mais dados do que deveria?
A maioria das falhas críticas em API não aparece em scanners automatizados. Solicite uma análise ofensiva real.