API / Integration security
Пентест
API.
Пентест API проверяет, какие данные и операции доступны пользователю, приложению или интеграции. Исследуем запросы напрямую, включая функции, которые не видны в интерфейсе продукта.
Что проверяем
Проверяем поведение API с разными ролями и учётными данными. Сопоставляем ожидаемый доступ с фактическими ответами и действиями системы.
- Объекты и функции
- Чтение, изменение и удаление чужих ресурсов. Проверяем, может ли обычный пользователь выполнить действие администратора или обратиться к данным другой организации.
- Поля и ответы
- Лишние данные в ответах и изменение защищённых свойств. Исследуем выборку, поиск, фильтры и массовые операции.
- Токены и интеграции
- Область действия учётных данных, отзыв доступа и полномочия сервисов. Проверяем обработку внешних ответов и параметры межсистемных запросов.
- Критичные операции
- Повторные запросы, пропуск обязательных подтверждений и нарушение порядка действий. Проверяем ограничения важных бизнес-процессов.
Когда проверять API
- Перед открытием API партнёрам или внешним разработчикам.
- При подключении мобильного приложения, личного кабинета или нового сервиса.
- После изменения ролей, токенов и схемы доступа между организациями.
- При добавлении операций с платежами, документами или массовой выгрузкой данных.
Что получите
Карта проверенных операций и ролей. Для найденных проблем — запросы и ответы, последствия для данных или бизнеса и рекомендации по исправлению на стороне сервера.
- Список затронутых методов, объектов и учётных записей с приоритетами.
- Примеры воспроизведения, которые команда разработки сможет повторить.
- Критерии исправления и перечень операций для повторной проверки.
Что нужно для оценки
Пришлите назначение API, адреса сред и описание основных интеграций. Документация или коллекция запросов помогут оценить объём. Если документации нет, начнём со списка функций и пользовательских сценариев.
Для работы нужны тестовые роли и данные, на которых можно проверить чтение и изменение объектов. Допустимое воздействие и важные ограничения зафиксируем до старта. Закрытые материалы передаются отдельно от первого обращения.
Проверим доступ к вашим данным
Опишите API, его пользователей и операции, которые важнее всего защитить. Подготовим предложение по проверке.