Testy penetracyjne API z pełną analizą autoryzacji i logiki biznesowej.

Dokumentacja OpenAPI, Postman lub GraphQL schema przyspiesza test, ale możemy również wykonać test black-box bez dokumentacji.

Tak. Testy cross-tenant i autoryzacja obiektowa należą do najważniejszych elementów pentestu API B2B.

Może obejmować zarówno aplikację mobilną, jak i jej backend. Zakres ustalamy tak, aby nie pominąć zaufania pomiędzy klientem a API.

Raport zawiera warunki odtworzenia i zalecane testy negatywne, które zespół może przenieść do CI/CD.

Tak. Sprawdzamy BOLA/IDOR dla identyfikatorów w ścieżce, parametrze, nagłówku i treści żądania. Testujemy dostęp między użytkownikami, organizacjami i tenantami oraz operacje odczytu, modyfikacji i usuwania.

Tak. Weryfikujemy tokeny, JWT, klucze API, OAuth/OIDC, odświeżanie sesji, unieważnianie, rotację sekretów, MFA i odporność na przejęcie konta. Sprawdzamy także różnice między kanałami web, mobile i integracjami.

Tak. Testujemy nadmiarowe pola odpowiedzi, mass assignment, modyfikację pól tylko administracyjnych i filtrowanie właściwości zależne od roli. Porównujemy schemat, dokumentację i zachowanie rzeczywistego endpointu.

Tak. Sprawdzamy limity liczby rekordów, rozmiaru uploadu, batchy, złożoności GraphQL, czasu wykonania, pamięci i kosztów usług zewnętrznych. Szukamy zarówno DoS, jak i denial of wallet.

Tak. Weryfikujemy funkcje administracyjne, zmianę metod HTTP, ukryte endpointy, operacje partnerów i różnice uprawnień między rolami. Sprawdzamy, czy autoryzacja jest egzekwowana w backendzie dla każdej funkcji.

Tak. Testujemy automatyzację zakupów, rezerwacji, rejestracji, odzyskiwania kont, kodów promocyjnych i innych wartościowych procesów. Oceniamy limity per użytkownik, urządzenie, organizację i rzeczywisty cel biznesowy.

Tak. Sprawdzamy endpointy pobierające URL, webhooki, importy, renderery, proxy i integracje. Weryfikujemy dostęp do localhost, sieci wewnętrznej, metadanych chmurowych, przekierowań i nietypowych reprezentacji adresów.

Tak. Analizujemy CORS, TLS, nagłówki, metody HTTP, debug, stack trace, cache, wersje protokołów, panele i konfigurację gateway. Sprawdzamy także różnice interpretacji żądań w łańcuchu proxy.

Tak. Szukamy starych wersji, endpointów beta i debug, hostów zapomnianych, nieudokumentowanych metod oraz API dostępnych w innych regionach lub subdomenach. Wyniki pomagają zbudować aktualny inwentarz powierzchni API.

Tak. Weryfikujemy zaufanie do odpowiedzi partnerów, walidację danych, podpisy webhooków, timeouty, przekierowania i limity odpowiedzi. Sprawdzamy, czy przejęta lub zmanipulowana usługa zewnętrzna może wpłynąć na system klienta.

Tak. Dobieramy techniki do protokołu: schematy i resolvery GraphQL, reflection i metadata gRPC, subskrypcje oraz autoryzację wiadomości WebSocket. Test może objąć kilka protokołów w jednym produkcie.

Tak. Sprawdzamy weryfikację podpisu, replay, kolejność zdarzeń, zmianę treści, sekrety współdzielone, obsługę błędów i zaufanie do źródła. Oceniamy również skutki biznesowe wielokrotnego lub sfałszowanego zdarzenia.

Nie jest bezwzględnie konieczna, ale znacząco zwiększa pokrycie. Przyjmujemy OpenAPI, Swagger, Postman, Insomnia, GraphQL schema, protobuf oraz opis ról i procesów biznesowych.

Tak. Dla potwierdzonych podatności zamieszczamy zanonimizowane requesty i response, parametry, wymagane role, warunki powtórzenia oraz bezpieczny PoC. Materiał pozwala zespołowi technicznemu odtworzyć i naprawić problem.

Pentest API zaczyna się od 1 999 PLN netto. Ostateczna cena zależy od liczby endpointów, ról i wersji API, procesów biznesowych, protokołów, integracji oraz jakości dokumentacji. Ważniejsze od samej liczby metod jest to, ile kombinacji uprawnień i obiektów trzeba zweryfikować. Wycena powstaje zwykle w około 24 godziny.

Najlepiej przekazać aktualną specyfikację OpenAPI lub Swagger, kolekcję Postman lub Insomnia, opis uwierzytelniania, konta dla kilku ról i listę kluczowych procesów. Dla GraphQL przydatny jest schemat, a dla gRPC pliki protobuf. Brak pełnej dokumentacji nie wyklucza testu, ale wydłuża rekonesans i może ograniczyć pokrycie.

Testy automatyczne potwierdzają zwykle poprawność oczekiwanych odpowiedzi. Pentest szuka nieoczekiwanych sposobów użycia: zmiany obiektów i ról, pomijania kroków, masowego wykonywania operacji, nadużyć limitów i łączenia błędów. Automatyzacja wspiera pracę pentestera, ale nie zastępuje analizy autoryzacji i logiki biznesowej.

Poza OWASP API Security Top 10 powinna obejmować inwentarz endpointów, role, tokeny, BOLA i BFLA, właściwości obiektów, limity, webhooki, integracje, błędy, cache, wersjonowanie i scenariusze biznesowe. Checklista jest punktem wyjścia; najważniejsze testy wynikają z architektury i celu konkretnego API.

Tak, jeśli API znajduje się w uzgodnionym zakresie. Wspólny test klienta web lub mobile i backendu pozwala zweryfikować, czy zabezpieczenia nie istnieją wyłącznie w interfejsie użytkownika. Szczególnie ważne jest sprawdzenie zmodyfikowanych klientów, ukrytych funkcji i bezpośrednich żądań do API.

Tak. Dla każdego systemu budujemy scenariusze wokół jego kluczowych procesów, takich jak płatności, faktury, zamówienia, limity, eksporty i separacja organizacji. Test techniczny jest uzupełniany analizą nadużyć biznesowych charakterystycznych dla danej branży.

Black-box pokazuje, co znajdzie zewnętrzny atakujący, ale gray-box z dokumentacją i kontami kilku ról zwykle zapewnia znacznie lepszą ocenę BOLA, BFLA i logiki biznesowej. Dla publicznych API często łączymy oba podejścia: rekonesans bez wiedzy oraz pełną walidację udokumentowanych funkcji.

Sprawdzamy JWT, OAuth/OIDC, mTLS, klucze i sekrety usługowe, audience, issuer, scope, rotację oraz możliwość ponownego użycia tokenu. Analizujemy także, czy usługa ufa nagłówkom lub danym dostarczonym przez klienta i czy przejęcie jednego komponentu umożliwia ruch boczny.

Można, jeśli Rules of Engagement określają limity, dane testowe, kontakty awaryjne i wyłączone operacje. Testy kosztowne, masowe, destrukcyjne lub wpływające na realne transakcje przenosimy do środowiska testowego. Produkcja bywa potrzebna do sprawdzenia rzeczywistego gateway, WAF, DNS i konfiguracji brzegowej.

Warto wymagać doświadczenia w autoryzacji obiektowej, wielu protokołach i logice biznesowej, a nie tylko skanowaniu endpointów. Raport powinien zawierać kompletne requesty i response, wymagane role, wpływ, CVSS, rekomendację i test zamknięcia. BSTA udostępnia publiczny, syntetyczny przykład takiego raportu.