Pruebas de penetración de API
Las API fallan con más frecuencia en la autorización, y esos fallos no se pueden encontrar con un solo token. Probamos tus API REST y GraphQL en múltiples roles e inquilinos, mapeadas al OWASP API Security Top 10, para encontrar las brechas de control de acceso a nivel de objeto y de función que importan.
Qué probamos
El alcance se basa en el OWASP API Security Top 10 (2023). Lo que más hallazgos aporta, y lo que más a menudo se omite, son las pruebas autenticadas con distintos roles e inquilinos: es la única manera de encontrar fallos de autorización a nivel de objeto y de función. Te pedimos la especificación OpenAPI/Swagger para cubrir casi todas las rutas (que no exista ya es un hallazgo).
- Broken Object Level Authorization (BOLA / IDOR) a través de inquilinos y roles
- Broken Function Level Authorization (BFLA) mediante intercambios de rol y método
- Autorización rota a nivel de propiedad de objeto: asignación masiva y exposición excesiva de datos
- Autenticación, consumo de recursos sin restricciones y flujos de negocio sensibles
- Inyección, SSRF y configuración de seguridad incorrecta
- Particularidades de GraphQL: introspección, batching, DoS por consultas anidadas y filtración por errores
Grey-box, autenticada, multirrol
El grey-box es la opción más rentable: tú aportas la especificación y cuentas de prueba para cada rol. Trabajamos sobre todo a mano, porque los escáneres detectan configuraciones incorrectas y CVE conocidos, pero pasan por alto los fallos de autorización y de lógica de negocio que concentran el riesgo de las API.
- 1
Alcance y cuentas
Acordamos los límites y reunimos varias cuentas en distintos roles e inquilinos, además de tu especificación OpenAPI/Swagger.
- 2
Inventario de endpoints
A partir de la especificación y del tráfico real, trazamos un mapa completo de rutas y operaciones y señalamos las lagunas de la especificación.
- 3
Sondeo de autenticación y autorización
Probamos el control de acceso a nivel de objeto y de función con distintos roles e inquilinos. Ahí está el núcleo del riesgo de las API.
- 4
Abuso de entrada, inyección y lógica de negocio
Probamos inyección, SSRF, consumo de recursos y abuso de flujos de negocio sensibles con prueba de concepto.
- 5
Informe y reevaluación gratuita
Recibes un informe priorizado con evidencia de petición/respuesta; reevaluamos los problemas corregidos sin coste adicional, dentro del plazo fijado en el SoW.
Qué recibes
La misma profundidad que nuestro informe de muestra, cuyo hallazgo desarrollado es precisamente un IDOR entre inquilinos en una API (CWE-639, CVSS 3.1). Cada hallazgo incluye la evidencia necesaria para reproducirlo y corregirlo.
- Resumen ejecutivo y postura de riesgo global
- Cada hallazgo: descripción, impacto, evidencia, pasos para reproducir y remediación
- Prueba de concepto como pares de petición/respuesta
- Severidad puntuada con CVSS 3.1 y traducida a riesgo de negocio
- Referencias al OWASP API Security Top 10 (2023) y a CWE
- Reevaluación gratuita de los problemas remediados dentro del plazo fijado en el SoW
Fundamentado en los estándares OWASP API Security
La cobertura sigue el OWASP API Security Top 10 (2023); las pruebas de GraphQL siguen además la OWASP WSTG-APIT-01 (Testing GraphQL). Los hallazgos de autorización (BOLA, BFLA, propiedad de objeto) requieren varias cuentas con distintos roles e inquilinos: con un solo token no se pueden encontrar. Los hallazgos se puntúan con CVSS 3.1.