Aplicativo, site, parceiro e sistema interno conversam por APIs. Avaliamos essas conexões para saber se cada pessoa e cada parceiro enxerga apenas o que deveria.
Uma API é a interface pela qual um sistema oferece dados e funções a outro: o app da empresa, o parceiro que consulta pedidos, o marketplace que publica produtos, a instituição que participa do open finance. O risco de negócio é simples de dizer: se a API entrega ao cliente A algo que pertence ao cliente B, ou deixa um parceiro fazer mais do que o contrato previu, o problema aparece como vazamento de dados ou fraude, e não como falha de tela. A OWASP mantém uma lista de referência dos riscos mais críticos nessa área, o OWASP API Security Top 10, cuja edição vigente é a de 2023. Usamos essa lista como guia de cobertura, junto com o que é específico do seu negócio: regras de acesso, contratos com parceiros e o que cada integração pode ou não pode fazer. O resultado é um relatório que o time técnico consegue corrigir e que a diretoria consegue ler.
O que você recebe
- Relatório com cada achado, a evidência que o comprova e o impacto no negócio
- Sumário executivo para diretoria e para quem responde a clientes e parceiros
- Plano de ação priorizado, indicando o que corrigir primeiro
- Mapa das APIs avaliadas e de quem consegue acessar cada uma
- Reteste das correções, com confirmação do que foi resolvido
- Certificado de pentest verificável em /certificado, quando o escopo permitir
O que cobrimos
Acesso aos dados de outros clientes
Verificamos se um usuário ou parceiro consegue ver, alterar ou apagar informação que não é dele.
Quem pode fazer o quê
Conferimos se funções de administração e operações sensíveis ficam restritas a quem tem esse papel.
Integrações com parceiros
Avaliamos como a empresa entrega dados a terceiros e como recebe dados deles, incluindo o que ocorre quando o parceiro erra ou age fora do combinado.
Uso abusivo do negócio
Testamos se fluxos como cadastro, cupom, saldo e pedido podem ser usados de forma que o negócio não previu, e se há limites contra uso excessivo.
Indicado para
- Empresas que expõem APIs a parceiros, clientes corporativos ou marketplaces
- Instituições financeiras e fintechs com integrações de open finance
- Operações de varejo e logística que dependem de integração com plataformas de venda
- Times que precisam responder a questionários de segurança ou a exigências contratuais de parceiros
Como conduzimos
Levantamento do que existe
Reunimos a lista de APIs, ambientes, perfis de acesso e parceiros, inclusive as que o time já não lembra de ter publicado.
Definição do escopo e das regras
Combinamos o que será testado, em quais ambientes e como evitar impacto sobre a operação.
Avaliação manual
Nosso time avalia as APIs com perfis diferentes de usuário e de parceiro, seguindo a cobertura do OWASP API Security Top 10:2023 e as regras do seu negócio.
Relatório e devolutiva
Apresentamos achados, evidências e plano de ação em uma conversa com o time técnico e com a gestão.
Reteste
Após as correções, repetimos os testes relevantes e confirmamos o que foi resolvido.
Perguntas Frequentes
Qual a diferença entre pentest de API e pentest web?
O pentest web avalia o site ou o sistema como o usuário o vê. O pentest de API avalia a camada de integração por trás dele, que serve apps, parceiros e outros sistemas e muitas vezes expõe mais dados do que a tela mostra. Quando a empresa tem as duas coisas, o ideal é avaliá-las juntas ou em sequência.
O que é o OWASP API Security Top 10?
É uma lista de referência, mantida pela OWASP, com os dez riscos mais críticos em APIs. A edição vigente é a de 2023. Ela serve como guia de cobertura; o teste também considera as regras de negócio e os contratos da sua empresa, que nenhuma lista genérica conhece.
Preciso entregar o código ou a documentação da API?
Não é obrigatório. A documentação e contas de teste de perfis diferentes aceleram e aprofundam a avaliação. Sem elas, o teste parte do que é possível observar de fora, o que também é útil para saber o que um terceiro enxerga.
O teste pode afetar a operação ou os parceiros?
O escopo, os ambientes e os limites são combinados antes. Sempre que possível, o teste usa ambiente de homologação ou contas de teste. Quando precisa ocorrer em produção, definimos regras para evitar impacto.
Do que dependem o prazo e o custo?
Principalmente do número de APIs e de rotas, da quantidade de perfis de acesso, da existência de documentação, do número de ambientes e da necessidade de reteste. Depois de entender o escopo, enviamos a proposta.