API Pentest
Pentest de API
Tu API es el producto: la app, el frontend y los partners dependen de ella. Probamos REST, GraphQL, gRPC y webhooks con varios usuarios por rol para encontrar los fallos de autorización que ningún escáner ve.
Solicitar propuesta Ver cómo funcionaPlazo típico: 5–12 días
Por qué las APIs necesitan su propia prueba
Cualquier control que exista solo en la interfaz se puede saltar llamando directamente a la API. Y los fallos más graves —un cliente leyendo las facturas de otro, un usuario normal llamando a una función de administración— son de autorización: la herramienta ve dos respuestas válidas y no sabe que una no debería existir.
Cobertura: OWASP API Security Top 10
- API1 · BOLA/IDOR — acceso a objetos de otros usuarios y tenants.
- API2 · Autenticación — tokens, JWT, OAuth/OIDC, API keys, recuperación de cuenta.
- API3 · Propiedades de objeto — campos expuestos o modificables indebidamente.
- API4 · Consumo de recursos — falta de límites, costes e indisponibilidad.
- API5 · Autorización de funciones — rutas de administración accesibles a roles normales.
- API6 · Flujos de negocio sensibles — automatización abusiva de compras, cupones, registros.
- API7 · SSRF, API8 · configuración, API9 · inventario y API10 · consumo inseguro de APIs de terceros.
Qué necesitamos de ti
- Especificación (OpenAPI/Swagger, schema GraphQL, .proto o colección de Postman).
- Al menos dos cuentas por rol, en dos tenants si aplica.
- Entorno de preproducción con datos realistas e IPs permitidas en el WAF.
Hallazgos típicos en APIs
- Cambiar un identificador en la URL devuelve datos de otro cliente (BOLA/IDOR).
- Campos como
role,priceotenant_idaceptados en el cuerpo de la petición (mass assignment). - Rutas de administración protegidas solo en el frontend.
- Tokens JWT aceptados sin validar correctamente firma, expiración o audiencia.
- Versiones antiguas de la API aún activas, sin los controles de la versión actual.
- Falta de límites que permite enumeración masiva o costes descontrolados.
Pentest que sirve para auditoría
El informe incluye alcance, periodo, metodología, severidad justificada y evidencia de retest: lo que buscan auditores y clientes en ISO 27001 (A.8.8 y A.8.29), SOC 2 (CC4.1 y CC7.1), PCI DSS 4.0 (requisito 11.4), RGPD (art. 32), ENS, NIS2 y DORA. También emitimos un certificado para enviar a clientes sin exponer detalles técnicos.
Por qué Pentest Machine
- El fundador ejecuta y garantiza la calidad. Más de 20 años de experiencia, carrera internacional en seis de las mayores empresas del mundo y ponencias en OWASP AppSec USA, Black Hat y varias BSides. Participa en las pruebas y revisa cada informe antes de la entrega.
- Solo especialistas sénior en el ataque. Herramientas propias e IA aceleran el trabajo repetitivo; la decisión de qué explotar y cómo encadenar es humana.
- Transparencia comercial. Precio cerrado en 24 h, NDA antes del alcance, retest incluido y facturación en la UE, Brasil o EE. UU.
- Informe para tres públicos: dirección, equipo de desarrollo y auditoría.
Qué recibes
- Hallazgos con petición y respuesta reproducibles, severidad e impacto de negocio.
- Cadenas de ataque, no solo elementos aislados.
- Correcciones a nivel de código y arquitectura.
- Retest incluido e informe actualizado para clientes y auditorías.
Preguntas frecuentes
¿Cuánto cuesta un pentest de API?
Una API de hasta unos 80 endpoints con 2 a 4 roles suele llevar de 5 a 12 días de prueba; en Europa, entre 10.000 € y 30.000 €. El precio cerrado llega en 24 h.
¿Probáis GraphQL y gRPC?
Sí. Las clases de riesgo son las mismas, pero la superficie cambia y requiere técnica específica.
¿Qué diferencia hay con el pentest web?
El pentest web cubre la aplicación vista desde el navegador; el de API se centra en las interfaces llamadas directamente, incluidas las de apps y partners.
¿Tengo que enviar la documentación?
No es obligatorio, pero sí recomendable: con la especificación, el tiempo se dedica a atacar y la cobertura aumenta.
Lee también
Otros servicios
Solicitar propuesta
Recibe una propuesta en 24h.
Cuéntanos qué necesitas probar. Un especialista — no un comercial — responde con alcance, plazo y precio.
- NDA disponible antes de cualquier detalle
- Atención en ES, PT y EN
- Facturación en la UE, Brasil o EE. UU.