Salak Security
Ver relatórioFalar com especialista
Soluções

Pentest de APIs e integrações

Um ID trocado na URL e os dados de outro cliente aparecem. Testamos cada endpoint com cada perfil, como um atacante faria.

Avaliar meu sistemaVer relatório de exemplo

APIs são a porta mais usada para vazamento de dados porque a tela não protege nada: quem chama a API direto ignora o que o front-end esconde. A falha mais comum é a autorização por objeto, quando o servidor confere que você está logado, mas não que o pedido 1043 é seu.

Testamos REST, GraphQL e webhooks com usuários de cada perfil, repetindo cada chamada com outro ID, outro papel, outro valor e muitas vezes por segundo.

O que testamos

9 verificações, cada uma com prova

Nenhum item é aprovado sem evidência: saída de ferramenta, requisição ou trecho de código.

  • Autorização por objeto (IDOR/BOLA)Cada endpoint que recebe um ID testado com usuários diferentes.
  • Autorização por funçãoEndpoints de administração chamados por usuários comuns.
  • Regras de valor no servidorPreço, desconto, quantidade e saldo alterados na requisição.
  • Atribuição em massaCampos extras no corpo da requisição, como role ou is_admin, aceitos pelo servidor.
  • Exposição excessiva de dadosRespostas que trazem mais campos do que a tela mostra.
  • Limites e abusoAusência de limite por usuário e por IP, paginação sem teto, operações caras repetidas.
  • WebhooksAssinatura conferida, proteção contra repetição e origem validada.
  • Contrato OpenAPIMilhares de requisições geradas a partir da especificação para achar o que ela não prevê.
  • AutenticaçãoTokens, expiração, revogação e chaves de API de parceiros.
Exemplo de achado

Assim chega cada falha no relatório

Severidade, categoria OWASP e CWE, o caminho que o dado percorre até vazar, o impacto no negócio e a correção recomendada. O exemplo é fictício; o formato é o que você recebe.

Ver o relatório completo →
AltaSEC-019 · exemploA01 · CWE-639

Pedido de outro cliente acessível trocando o ID na URL

  1. 01Login como user_a
  2. 02GET /pedidos/1042 → 200 (próprio)
  3. 03GET /pedidos/1043 → 200 (de user_b)
  4. 04Endereço e itens de outro cliente
Impacto
Qualquer cliente logado percorre os IDs e lê os pedidos de todos os outros.
Correção recomendada
Filtrar a consulta pelo dono do pedido no servidor, devolver 404 quando não for dele e um teste com dois usuários que garante isso.
Como funciona

Quatro passos, nenhum sem evidência

Ver o método completo →
  1. 01

    Escopo e autorização

    Termo assinado com sistemas, ambientes e limites, antes de qualquer teste.

  2. 02

    Inventário e testes

    Rotas, dados sensíveis e testes em staging com cada perfil de usuário.

  3. 03

    Correção pelo seu time

    Cada falha com correção recomendada e teste de regressão.

  4. 04

    Verificação independente

    Quem não participou reproduz, confirma e assina.

Oferta recomendada

Auditoria Completa

A Auditoria Completa testa cada endpoint com cada perfil e entrega um teste de regressão por falha, que fica no seu repositório.

a partir de, por aplicaçãoR$ 22.300até 8 dias úteisVer a oferta
Perguntas

Sobre apis e integrações

A correção é feita pelo seu time, com a correção recomendada e o teste de regressão que entregamos. Apoio na implementação é orçado à parte.

Precisam da documentação da API?

Ajuda muito. Com OpenAPI ou coleção do Postman a cobertura é maior e mais rápida. Sem ela, mapeamos as chamadas pela aplicação.

Testam GraphQL?

Sim: introspecção, autorização por campo, consultas aninhadas que derrubam o servidor e operações em lote.

Como provam o IDOR?

Com dois usuários de teste: a requisição de um deles lendo ou alterando o dado do outro, com a resposta registrada. Nunca com dados de clientes reais.

Guias relacionados
Guia · 10 minOWASP Top 10:2025 explicadoAs 10 categorias, o que mudou desde 2021 e um exemplo real de cada uma.Ler o guia →Guia · 5 minChecklist antes de publicar20 verificações de segurança para fazer antes do lançamento.Ler o guia →
Contato comercial

Fale com um especialista em segurança

Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.

  • Escopo e preço antes de qualquer compromisso
  • Acordo de confidencialidade desde a primeira conversa
  • Atendimento em todo o Brasil
Conversa com especialistaTime de negócios · Salak Security
  1. 01Escolha um horário

    Direto na agenda do time de negócios, no dia que for melhor para você.

  2. 02Conte o que precisa avaliar

    Sistema, tecnologias, ambientes e o que mais preocupa hoje.

  3. 03Receba a proposta

    Escopo, prazo e preço em até um dia útil depois da conversa.

Escolher horário na agenda

Abre a agenda em uma nova aba.