Testes autorizados · Brasil e Estados Unidos
Pentest de API
A interface mostra um caminho. A API aceita muitos outros. Testo como seus endpoints respondem quando a requisição usa outro recurso, outro papel ou dados que a interface nunca enviaria.
Falar do meu projetoQuem pode acessar cada objeto?
Trocar um identificador não deveria permitir consultar ou alterar dados de outra conta. Verifico autorização por objeto, incluindo cenários conhecidos como BOLA e IDOR, com recursos criados para o teste e permissões previamente definidas.
Campos e operações sensíveis
Além de ler um recurso, um usuário pode tentar mudar campos que não controla ou chamar funções reservadas. Avalio as operações em escopo, a informação devolvida nas respostas e o que acontece quando campos esperados são alterados ou enviados fora do fluxo normal.
Cobertura ligada ao seu produto
Uma lista de endpoints não explica todas as regras. Relaciono documentação, papéis e fluxos do negócio para definir os cenários. O relatório distingue falhas confirmadas, limitações e operações que não puderam ser avaliadas, para que a cobertura fique clara.
Cenário ilustrativo · dados fictícios
Como isso aparece na prática
Exemplo fictício: a conta da organização A consulta uma fatura usando o ID de uma fatura da organização B. O comportamento esperado é negar o acesso; conhecer o identificador não deve conceder permissão para ler o documento.
O que preparar antes do teste
Envie a documentação disponível, como OpenAPI ou uma coleção de requisições, sem colocar segredos no formulário. Depois combinamos um canal para credenciais de teste, papéis, recursos de exemplo e limites de requisições.
Não envie senhas, tokens ou dados de clientes pelo formulário público.
Dúvidas sobre este serviço
Vocês testam somente APIs públicas?
Não. Uma API autenticada também pode estar exposta a usuários com acesso legítimo. O escopo pode incluir operações autenticadas e não autenticadas, conforme a arquitetura.
O teste inclui sobrecarga ou indisponibilidade?
Não por padrão. Testes de carga e negação de serviço não fazem parte desta oferta. Limites e operações com efeitos externos são definidos antes do trabalho.
Vamos definir o escopo?
Conte o que seu sistema faz e o que você precisa avaliar. Depois de entender o contexto, envio uma proposta com limites, entregas, prazo e valor.
Falar do meu projeto