Testes de intrusão a APIs

Porque as APIs precisam de um teste próprio

Qualquer controlo que exista apenas na interface pode ser contornado por quem chama a API diretamente. E as falhas mais graves — um cliente a ler as faturas de outro, um utilizador comum a chamar uma função de administração — são de autorização: a ferramenta vê duas respostas válidas e não sabe que uma delas não devia existir.

Cobertura: OWASP API Security Top 10

• API1 · BOLA/IDOR — acesso a objetos de outros utilizadores e tenants.
• API2 · Autenticação — tokens, JWT, OAuth/OIDC, chaves de API, recuperação de conta.
• API3 · Propriedades de objeto — campos expostos ou alteráveis indevidamente.
• API4 · Consumo de recursos — ausência de limites, custos e indisponibilidade.
• API5 · Autorização de função — rotas de administração acessíveis a perfis comuns.
• API6 · Fluxos de negócio sensíveis — automação abusiva de compras, cupões, registos.
• API7 · SSRF, API8 · configuração, API9 · inventário e API10 · consumo inseguro de APIs de terceiros.

O que precisamos de si

• Especificação (OpenAPI/Swagger, schema GraphQL, .proto ou coleção do Postman).
• Pelo menos duas contas por perfil, em dois tenants quando aplicável.
• Ambiente de pré-produção com dados realistas e IPs autorizados na WAF.

Achados típicos em APIs

• Troca de um identificador no URL que devolve dados de outro cliente (BOLA/IDOR).
• Campos como role, price ou tenant_id aceites no corpo do pedido (mass assignment).
• Rotas de administração protegidas apenas no frontend.
• Tokens JWT aceites sem validação correta de assinatura, expiração ou audiência.
• Versões antigas da API ainda ativas, sem os controlos da versão atual.
• Ausência de limites que permite enumeração em massa ou custos descontrolados.

Testes que servem para auditoria

O relatório inclui âmbito, período, metodologia, severidade justificada e evidência de reteste — o que auditores e clientes procuram na ISO 27001 (A.8.8 e A.8.29), no SOC 2 (CC4.1 e CC7.1), no PCI DSS 4.0 (requisito 11.4), no RGPD (art.º 32.º), na NIS2 e no DORA. Emitimos também uma declaração para enviar a clientes sem expor detalhes técnicos.

Porquê a Pentest Machine

• O fundador executa e garante a qualidade. Mais de 20 anos de experiência, carreira internacional em seis das maiores empresas do mundo e palestras na OWASP AppSec USA, na Black Hat e em várias BSides. Participa nos testes e revê cada relatório antes da entrega.
• Só especialistas séniores no ataque. Ferramentas próprias e IA aceleram o trabalho repetitivo; a decisão sobre o que explorar e como encadear é humana.
• Transparência comercial. Preço fechado em 24 h, NDA antes do âmbito, reteste incluído e faturação na UE, no Brasil ou nos EUA.
• Relatório para três públicos: administração, equipa de desenvolvimento e auditoria.

O que recebe

• Achados com pedido e resposta reproduzíveis, severidade e impacto de negócio.
• Cadeias de ataque, não apenas itens isolados.
• Correções ao nível do código e da arquitetura.
• Reteste incluído e relatório atualizado para clientes e auditorias.

Perguntas frequentes

Leia também

• Guia de testes a APIs pelo OWASP API Top 10
• BOLA em APIs: o achado n.º 1
• Erros de JWT e OAuth
• Quanto custa um teste de intrusão

Outros serviços