# Пентест API и интеграций — DESTINY

Источник: [https://destiny.by/api-pentest.html](https://destiny.by/api-pentest.html)

Обновлено: 2026-10-31

API / Integration security

## Пентест *API.*

Пентест API проверяет, какие данные и операции доступны пользователю, приложению или интеграции. Исследуем запросы напрямую, включая функции, которые не видны в интерфейсе продукта.

[Посмотреть пример API-находки](https://destiny.by/report-example.html#web-example)

## Что проверяем

Проверяем поведение API с разными ролями и учётными данными. Сопоставляем ожидаемый доступ с фактическими ответами и действиями системы.

- **Объекты и функции:** Чтение, изменение и удаление чужих ресурсов. Проверяем, может ли обычный пользователь выполнить действие администратора или обратиться к данным другой организации.
- **Поля и ответы:** Лишние данные в ответах и изменение защищённых свойств. Исследуем выборку, поиск, фильтры и массовые операции.
- **Токены и интеграции:** Область действия учётных данных, отзыв доступа и полномочия сервисов. Проверяем обработку внешних ответов и параметры межсистемных запросов.
- **Критичные операции:** Повторные запросы, пропуск обязательных подтверждений и нарушение порядка действий. Проверяем ограничения важных бизнес-процессов.

## Когда проверять API

- Перед открытием API партнёрам или внешним разработчикам.
- При подключении мобильного приложения, личного кабинета или нового сервиса.
- После изменения ролей, токенов и схемы доступа между организациями.
- При добавлении операций с платежами, документами или массовой выгрузкой данных.

## Что получите

Результат

Карта проверенных операций и ролей. Для найденных проблем — запросы и ответы, последствия для данных или бизнеса и рекомендации по исправлению на стороне сервера.

- Список затронутых методов, объектов и учётных записей с приоритетами.
- Примеры воспроизведения, которые команда разработки сможет повторить.
- Критерии исправления и перечень операций для повторной проверки.

[Посмотреть пример API-находки](https://destiny.by/report-example.html#web-example)

## Что нужно для оценки

Пришлите назначение API, адреса сред и описание основных интеграций. Документация или коллекция запросов помогут оценить объём. Если документации нет, начнём со списка функций и пользовательских сценариев.

Для работы нужны тестовые роли и данные, на которых можно проверить чтение и изменение объектов. Допустимое воздействие и важные ограничения зафиксируем до старта. Закрытые материалы передаются отдельно от первого обращения.

## Проверим доступ к вашим данным

Опишите API, его пользователей и операции, которые важнее всего защитить. Подготовим предложение по проверке.