Pentest de API

Por que APIs precisam de um teste próprio

Todo controle que existe apenas na interface pode ser contornado por quem chama a API diretamente. E as falhas mais graves em APIs — um cliente lendo as faturas de outro, um usuário comum chamando uma função administrativa — são de autorização: a ferramenta vê duas respostas válidas e não sabe que uma delas não deveria existir.

Cobertura: OWASP API Security Top 10

• API1 · BOLA/IDOR — acesso a objetos de outros usuários e tenants.
• API2 · Autenticação — tokens, JWT, OAuth/OIDC, chaves de API, recuperação de conta.
• API3 · Propriedades de objeto — campos expostos ou alteráveis indevidamente (mass assignment).
• API4 · Consumo de recursos — ausência de limites, custo e indisponibilidade.
• API5 · Autorização de função — rotas administrativas acessíveis a perfis comuns.
• API6 · Fluxos de negócio sensíveis — automação abusiva de compras, cupons, cadastros.
• API7 · SSRF, API8 · configuração, API9 · inventário (versões antigas e endpoints esquecidos) e API10 · consumo inseguro de APIs de terceiros.

O que precisamos de você

• Especificação (OpenAPI/Swagger, schema GraphQL, .proto ou coleção do Postman).
• Pelo menos duas contas por perfil, em dois tenants quando houver multi-tenant.
• Ambiente de homologação com dados realistas e IPs liberados no WAF.

Sem documentação também testamos — mas parte do orçamento vai para descoberta em vez de ataque.

Achados típicos em APIs

• Troca de um identificador na URL que devolve dados de outro cliente (BOLA/IDOR).
• Campos como role, price ou tenant_id aceitos no corpo da requisição (mass assignment).
• Rotas administrativas protegidas só no frontend.
• Tokens JWT aceitos sem validação correta de assinatura, expiração ou audiência.
• Versões antigas da API ainda no ar, sem os controles da versão atual.
• Ausência de limites que permite enumeração em massa ou custo descontrolado.

Pentest que serve para auditoria

O relatório traz escopo, período, metodologia, severidade justificada e evidência de reteste — o que auditores e clientes procuram em ISO 27001 (A.8.8 e A.8.29), SOC 2 (CC4.1 e CC7.1), PCI DSS 4.0 (requisito 11.4), LGPD (art. 46), resoluções do BACEN e, para quem atende a Europa, NIS2 e DORA. Também emitimos carta de atestado para enviar a clientes sem expor detalhes técnicos.

Por que a Pentest Machine

• O fundador executa e garante a qualidade. Mais de 20 anos de experiência, carreira internacional em seis das maiores empresas do mundo e palestras na OWASP AppSec USA, na Black Hat e em várias BSides. Ele participa dos testes e revisa cada relatório antes da entrega.
• Só especialistas sêniores no ataque. Ferramentas próprias e IA aceleram o trabalho repetitivo; o julgamento sobre o que explorar e como encadear é humano.
• Transparência comercial. Preço fechado em 24h, NDA antes do escopo, reteste incluso e faturamento no Brasil, na UE ou nos EUA.
• Relatório que serve para três públicos: board, time de desenvolvimento e auditoria.

O que você recebe

• Achados com requisição e resposta reproduzíveis, severidade e impacto de negócio.
• Cadeias de ataque, não só itens isolados.
• Correções no nível do código e da arquitetura (autorização por objeto, escopo na consulta, listas de campos permitidos).
• Reteste incluso e relatório atualizado para clientes e auditorias.

Perguntas frequentes

Leia também

• Guia de pentest de API pelo OWASP API Top 10
• BOLA em APIs: o achado nº 1
• Erros de JWT e OAuth
• Quanto custa um pentest

Outros serviços