Pentest de API

Threat emulation schedule with dates, sources, statuses, and a vulnerabilities list with severity and fix status.

APIs falham de forma diferente das aplicações que ficam na frente delas. Os achados graves quase nunca são um patch faltando: são decisões de autorização que o servidor nunca tomou — um id de objeto que dá para trocar, uma função que responde ao papel errado, um campo que jamais deveria ser gravável. Scanners não veem isso porque a requisição não tem nada de malformada.

Agende uma demo
Explorar a solução

Para times cujo produto é a API

Times de plataforma e produto que sobem mudanças de API toda semana, onde um bump de versão pode ampliar em silêncio o que um token já emitido pode fazer.

Empresas que expõem APIs públicas ou de parceiros, onde o consumidor é outro sistema e não há interface limitando o que é enviado.

Times com WAF, um DAST passando e um pipeline verde, e sem resposta para o que o token de um único cliente realmente alcança.

User interface with sections titled 'Strikers assigned' showing two profile pictures and their details, and an 'Export' panel with options to include Findings Summary, Assessment Updates, and Compliance Checklist, with a Download button.
[ ONDE OS SCANNERS FICAM CEGOS ]

A mesma requisição, lida de três formas diferentes

Uma varredura DAST, um teste de aplicação web e um teste de API mandam todos requisições HTTP, e discordam sobre o que conta como achado. A discordância importa porque os problemas de API mais danosos são requisições perfeitamente bem formadas que o servidor deveria ter recusado e não recusou. Alguém precisa saber quem pode fazer o quê, e só um dos três sabe.

O que cada um consegue ver
Varredura DAST
Pentest de aplicação web
Pentest de API
Conhecimento da superfície
O que conseguir crawlear, ou a spec que você entregou
Os endpoints que o front end chama
Todos os endpoints da spec, mais os que faltam nela
Autorização quebrada em nível de objeto (API1:2023)
Não encontra. A requisição é válida e a resposta é um 200
Às vezes, onde a interface expõe o identificador
Encontra: troca o id com o token de outra conta e lê a resposta
Teste entre papéis
Uma credencial, se houver alguma
Os papéis que a interface oferece
Cada papel contra cada endpoint, inclusive os que nenhuma interface chama
Abuso em nível de propriedade (API3:2023)
Não encontra
Raramente
Encontra enviando campos que o cliente nunca envia e lendo o retorno
Abuso de fluxos de negócio (API6:2023)
Não é avaliado
Parcialmente, dentro dos fluxos que a interface impõe
Testado explicitamente, porque o fluxo é o ativo
GraphQL
Fraco: um só endpoint, e com introspecção desligada fica cego
Depende inteiramente do tester
Introspecção, profundidade de query, batching e autorização por resolver

Os identificadores de risco se referem ao OWASP API Security Top 10, edição 2023 — a vigente no momento em que isto foi escrito. Atenção: mass assignment e exposição excessiva de dados, entradas separadas na lista de 2019, foram unificadas em API3:2023 Broken Object Property Level Authorization.

O que um teste de API realmente procura

Autorização quebrada em nível de objeto
A primeira entrada da lista da OWASP para APIs, e a que produz os maiores incidentes. O endpoint aceita um identificador e devolve o objeto sem checar se quem chamou é o dono. Testar isso não tem glamour — autenticar como um usuário, pedir os registros de outro, ver o que volta — e exige duas contas que um scanner não tem.
Autorização quebrada em nível de função
Uma operação administrativa ou privilegiada que responde a um token comum porque a checagem mora na interface e não no servidor. Aparece com frequência em endpoints que nenhuma interface chama mais: uma rota de admin antiga, uma operação em lote, uma ação interna de manutenção que ficou roteando.
Abuso em nível de propriedade do objeto
Enviar campos que o cliente nunca envia e descobrir que o servidor aceitou: role, isAdmin, accountBalance, tenantId. A imagem espelhada é uma resposta devolvendo mais do que quem chamou deveria ver, filtrada apenas pelo front end. Na edição 2023 os dois pertencem ao API3, e ambos são encontrados olhando o que o modelo de objetos permite, e não o que a interface faz.
Autenticação e tratamento de tokens
Como tokens são emitidos, validados, escopados e revogados. Verificação de assinatura que aceita um algoritmo inesperado, tokens que sobrevivem a uma troca de senha, fluxos de refresh replicáveis, escopos concedidos mais amplos do que o endpoint precisa. Quase tudo isso é invisível de fora e óbvio quando alguém lê o fluxo.
Consumo de recursos e abuso de fluxos de negócio
Endpoints que podem ser chamados mais rápido ou maiores do que o previsto, e fluxos legítimos automatizáveis contra você: enumeração em massa, resgate de cupons, reservas retidas, criação de contas. Nada disso é defeito em uma requisição isolada: o achado é que a sequência não tem custo.
Inventário mal gerenciado
Versões antigas ainda roteando, hosts de staging servindo dados de produção e endpoints que nunca entraram na spec. Aqui o teste se sobrepõe à descoberta, e é por isso que uma lista fechada de endpoints deve ser tratada como ponto de partida, não como limite.

Specs, REST e GraphQL: o que muda no escopo

O que uma spec OpenAPI te dá
Uma spec atualizada transforma tempo de descoberta em tempo de teste. Ela dá tipos de parâmetro, valores esperados e o formato do modelo de objetos, que é exatamente o insumo para montar requisições que valem a pena enviar. Fornecê-la costuma ser a coisa de maior alavancagem que um time faz antes de começar um trabalho de API.
E o que ela não conta
Specs descrevem intenção, não realidade. Endpoints são adicionados sem documentação, os depreciados continuam roteando e parâmetros não documentados seguem funcionando. Um bom teste toma a spec como hipótese e vai procurar o que falta nela, porque é nessa lacuna que vivem os endpoints sem dono.
GraphQL é um endpoint e muitas perguntas
Uma única URL esconde a superfície inteira, então pensar por endpoint deixa de funcionar. O teste foca em saber se a introspecção está exposta, se a autorização é aplicada em cada resolver e não apenas na entrada da query, e se profundidade, aliases e batching permitem que uma requisição faça muito mais trabalho do que o previsto.
Fluxos autenticados multi-papel
Este é o ponto em que um scanner com uma única credencial fica estruturalmente cego. Um teste de API que valha a pena precisa de pelo menos duas contas no mesmo nível de privilégio, para testar acesso horizontal entre pares, e contas em níveis diferentes para testar acesso vertical. Provisionar isso é a forma mais rápida de aumentar o valor do trabalho.

Perguntas frequentes

O que é um pentest de API?

Teste manual e autenticado dos endpoints de uma API contra o OWASP API Security Top 10 e contra as suas próprias regras de negócio. Cobre quem pode ler e escrever quais objetos, quais funções respondem a quais papéis, como tokens são emitidos e validados, o que as respostas entregam a mais e se fluxos legítimos podem ser abusados em escala. O entregável é um conjunto de requisições comprovadas, cada uma com a conta que a enviou e o que voltou.

Por que scanners não acham falhas de API?

Porque a requisição é válida. Um scanner detecta entrada malformada, assinaturas conhecidas e condições de erro. Uma falha de autorização produz uma requisição perfeitamente comum e uma resposta bem-sucedida; a única coisa errada é que quem chamou não deveria ter podido. Decidir isso exige saber quem chama, o que lhe pertence e qual é a regra de negócio, e nada disso está no tráfego.

Precisa de uma spec OpenAPI ou Swagger?

Estritamente não, mas muda a economia do trabalho. Com uma spec atualizada, o tester gasta o tempo testando em vez de reconstruir a superfície. Sem ela, a descoberta vem primeiro e parte do orçamento vai para lá. De qualquer forma a spec é tratada como ponto de partida, porque endpoints não documentados e depreciados estão consistentemente entre os achados mais interessantes.

Qual a diferença entre testar GraphQL e REST?

Em REST o endpoint é a unidade de autorização, então o teste percorre a lista de endpoints. Em GraphQL há um único endpoint e a unidade é o resolver, então as perguntas passam a ser se cada resolver aplica autorização de forma independente, se a introspecção está exposta e se profundidade, aliases e batching permitem que uma única requisição consuma recursos desproporcionais. Ferramentas que assumem que uma URL equivale a uma função não servem aqui.

Quantas contas e papéis devemos fornecer?

No mínimo duas contas no mesmo nível de privilégio, que é o que torna possível o teste de autorização horizontal, mais uma conta por nível distinto para o teste vertical. Em produtos multi-tenant, acrescente um segundo tenant. É a forma mais barata de aumentar o valor de um trabalho de API, e o motivo mais comum de um teste voltar mais magro do que o esperado é ter sido entregue apenas uma credencial.

Com que frequência testar APIs?

Na cadência em que a API muda, o que para a maioria dos times significa continuamente e não anualmente. Regressões de autorização são introduzidas por trabalho de produto normal: um campo novo em um objeto existente, um papel criado para um cliente, um endpoint generalizado para atender um segundo caso de uso. Um teste pontual prova o formato que a API tinha em um dia, e superfícies de API raramente mantêm esse formato por um trimestre.

[ RECURSOS RELACIONADOS ]
Pentest de aplicações webPentest de nuvemServiços de pentestO que é pentestNossa metodologiaComo escolher uma empresa de pentest

PLATAFORMA ALWAYS-ON

Mais do que um teste. Uma camada estratégica para segurança real.

Nossa IA é potencializada por uma camada de dados proprietários construída a partir de milhares de horas de pentesting e validações reais. A Strike combina execução autônoma e validação humana especializada para identificar riscos complexos, reduzir ruído e priorizar achados acionáveis.

Testes contínuos e em profundidade

Os Strikers identificam vulnerabilidades de alto impacto em múltiplas tecnologias — aplicações web, APIs, mobile, nuvem e muito mais.

Retestes sob demanda impulsionados por IA

Validate fixes instantly, without waiting for the next testing cycle.

Correção em tempo real

coming soon

Agentes de IA guiam sua equipe passo a passo durante a remediação para acelerar a resolução.

Criação de pentests passo a passo

Defina facilmente o escopo, inicie e acompanhe seus pentests com total transparência.

Triage humano e revisão entre pares

Cada achado é validado por especialistas em segurança para garantir precisão e impacto.

Visibilidade total

Monitore cada descoberta com transparência completa, registros de trabalho dos especialistas e notificações em tempo real.

Integrações fluídas

Conecte-se diretamente ao Slack, Teams e Jira para agilizar a colaboração entre suas equipes de segurança e desenvolvimento.

Vulnerability Manager

Visualize, gerencie e reteste vulnerabilidades em uma única plataforma, com contexto completo sobre severidade, origem e remediação.

Relatórios prontos para compliance

Gere automaticamente relatórios atualizados e alinhados com PCI DSS, HIPAA, ISO 27001, SOC 2 e muito mais.

Parceria contínua

Reuniões semanais com um Customer Success Manager dedicado, além de onboarding personalizado e planejamento estratégico.

Mais do que uma plataforma de segurança ofensiva, a Strike funciona como uma camada contínua de validação para ambientes que nunca param de mudar.

Agende uma demo

Potencialize sua experiência com o Hybrid Testing Booster

Testes híbridos contínuos

Emulação de ataques, stealth-based, executados por especialistas em segurança criativos e nada convencionais. Descubra como atacantes reais invadiriam seus sistemas — e impeça isso antes que aconteça.

Ver mais
Testemunho

Escolhida pelas equipes de segurança que lideram o setor.

“O produto foi ótimo! A equipe foi excepcional ao lidar com nossa urgência em relação a um prazo importante e conseguiu entregar de forma eficiente, encontrando vulnerabilidades relevantes em nossos sistemas.”

Gartner 4
Gartner review, Head of Engineering, Banking

“Uma boa opção para testes ágeis, especialmente quando os prazos de go-to-market são apertados. Isso é essencial quando o ciclo de releases traz muitos novos produtos e versões, tornando difícil manter o ritmo em um modelo tradicional sob demanda.”

Gartner 3
Gartner review, Product Security Leader Cybersecurity, Hardware

“A Strike oferece pentesting contínuo para nossos recursos críticos de web e mobile. Todos os meses eles nos ajudam a validar novas funcionalidades em produção, entregando vulnerabilidades relevantes e excelente custo-benefício. Estamos muito satisfeitos com sua abordagem inovadora e focada no cliente.”

Gartner 2
Gartner review, Chief Information Security Officer, Retail

“A equipe da Strike foi rápida e entregou a solução que precisávamos. Escolhemos a Strike porque eles oferecem uma suíte de pentesting que se adapta ao nosso ritmo de trabalho em termos de velocidade e comunicação. Altamente recomendado!”

Gartner review
Gartner 1
Gartner Review, Chief Technical Officer, Banking

“Valorizamos muito nossa parceria com a Strike. Seus serviços excepcionais de testes de penetração e comunicação eficaz aprimoraram significativamente nossa segurança cibernética, garantindo a segurança e a confiança das informações financeiras de nossos clientes.”

Ozan Özgür Özyüksel
Oficial de segurança da informação, Plum

“A gestão dos canais de comunicação e a centralização das interações com a equipe tornaram a experiência muito mais ágil e eficaz. Ter tudo em um só lugar foi uma grande vantagem e nos permitiu concluir o pentest em apenas algumas semanas.”

Miguel Langone
CTO na Horizon

“Trabalhar com a Strike é extremamente importante para nós, especialmente porque eles oferecem um trabalho de qualidade em nossos produtos de forma contínua e fornecem acompanhamento constante quando se trata de gerenciar as vulnerabilidades já encontradas. Além disso, eles estão constantemente fazendo melhorias em sua plataforma SaaS para que possamos ter a melhor experiência possível. Caso tenhamos algum problema, eles nos ouvem e nos ajudam. Isso é inestimável.”

Ileana Barrionuevo
Equipe vermelha sênior do AppSec, NaranJax

“Trabalhar com a Strike foi uma excelente experiência para nós. Conseguimos criar nossos próprios pentests e alterar seu escopo a cada mês. Os Strikers são profissionais de classe mundial que nos fornecem descobertas relevantes de forma rápida e eficiente. Além disso, ferramentas automatizadas como o Phishing Monitor são realmente interessantes para nossa empresa, pois elas nos ajudam a identificar domínios falsos tentando se passar por PedidosYa.”

Eduardo Gimenez
CISO, Pedidos Ya

“Para nós no cais, a segurança é o aspecto mais importante, não apenas na superfície, mas em todo o nosso produto. Quando entramos em contato com Strike, estávamos procurando alguém que pudesse testar e encontrar vulnerabilidades em toda a nossa pilha. Estamos muito felizes por termos encontrado o parceiro certo para conseguir isso e estamos ansiosos para continuar esse importante trabalho juntos.”

Andras Hejj
CEO & CTO, Pier
Gartner Peer Insights
4.9/5
Read full reviews

Experiência humana. Poder da IA. Segurança superior.

Quer você esteja crescendo rapidamente, fechando contratos corporativos ou apenas cansado de relatórios barulhentos, ajudaremos você a construir uma pilha de segurança que se mova mais rápido do que suas ameaças.

Agende uma demo