API nie ma ekranu.
Ale ma najwięcej danych.
Testy API koncentrują się na autoryzacji, logice biznesowej, walidacji wejścia, rate limitach i kontroli dostępu do obiektów. To tutaj najczęściej znajdujemy BOLA/IDOR, błędy ról i operacje możliwe do wykonania poza interfejsem aplikacji.
Najważniejszy obszar: autoryzacja
W API samo uwierzytelnienie nie wystarczy. Każdy endpoint musi sprawdzać, czy użytkownik ma prawo do konkretnego obiektu i konkretnej akcji. Błędy BOLA/IDOR są często krytyczne, bo pozwalają czytać lub modyfikować cudze dane.
Jak pracujemy
Zbieramy endpointy z dokumentacji, ruchu aplikacji i plików frontendowych. Budujemy kolekcję żądań, mapujemy role, testujemy parametry ID, masową automatyzację, walidację, GraphQL introspection, uploady i błędy logiki.
Co dostaje klient
Raport zawiera opis podatności, ryzyko biznesowe, kroki reprodukcji, przykładowe żądania, CVSS, STRIDE oraz konkretne poprawki dla backendu, gatewaya i procesu developerskiego.
Jak wygląda praktyczna weryfikacja
Nie chodzi o samo fuzzowanie endpointów. Największą wartość daje zrozumienie procesu biznesowego i sprawdzenie, czy API egzekwuje te same reguły, które widzi użytkownik w aplikacji.
Na co zwracamy uwagę w raporcie
Broken Object Level Authorization
Zmiana ID w parametrze nie może dawać dostępu do obiektu innego klienta.
Mass assignment
Backend nie powinien przyjmować pól, których użytkownik nie ma prawa ustawiać.
GraphQL
Introspection, nadmiarowe pola i kosztowne zapytania mogą ujawniać dane albo blokować usługę.
Potrzebujesz testów bezpieczeństwa API?
Sprawdzimy REST, GraphQL, auth, role, IDOR/BOLA, rate limiting, uploady, walidację oraz logikę biznesową.
Zapytaj o wycenę →