API security · серверная часть приложения
Проверю доступ к данным и операциям через API: что может анонимный посетитель, клиент, партнёр и администратор. Исследую REST API, GraphQL и серверную часть мобильных приложений в согласованных границах, с отчётом для разработчиков и владельца продукта.
Объект проверки
Интерфейс сайта или приложения показывает только часть возможностей сервера. При аудите API важно проверить саму обработку запросов: доступ к объектам, допустимые операции, состав ответов и изоляцию организаций.
Проверка REST API охватывает согласованные ресурсы и методы, параметры запросов, права на чтение и изменение объектов. Отдельно учитываю старые версии интерфейса, массовые операции, выгрузки и функции, которые редко используются через основной интерфейс.
Для GraphQL анализирую доступные операции и поля, вложенные связи и проверки прав при чтении или изменении данных. Глубину запросов и ограничения потребления ресурсов проверяю только в заранее согласованных безопасных пределах.
Пентест мобильного backend проверяет серверный API приложения. Для партнёрских интеграций и webhooks рассматриваю права ключей, проверку подлинности сообщений и повторную обработку событий. Анализ самого мобильного клиента в этот объём автоматически не включается.
Состав работ
Направления проверки соотношу с OWASP API Security Top 10 и моделью доступа конкретной системы. Одинаковый endpoint может быть безопасным для администратора и опасным для партнёра с ограниченными правами, поэтому программа привязана к ролям и данным.
Можно ли прочитать, изменить или удалить объект другого пользователя или другой организации.
Доступны ли административные методы обычному пользователю; соответствует ли доступ к операциям заявленной роли.
Проверка токенов, сроков действия, отзыва, области полномочий и поведения сервера при смене роли или удалении аккаунта.
Лишние чувствительные поля в ответах и массовое присваивание — возможность изменить поля, которыми пользователь не должен управлять.
Повторные запросы, ограничения операций, обработка событий и идемпотентность в согласованных сценариях.
Старые endpoint и версии, подробные ошибки, серверные запросы, проверка входящих webhooks и права интеграционных ключей.
Как выглядит риск
Пример риска: у двух компаний отдельные кабинеты в одном SaaS. Интерфейс скрывает чужие документы, но серверный метод возвращает их по идентификатору без проверки принадлежности организации. API-пентест проверяет эту границу напрямую. Для исправления команда получает условия воспроизведения и рекомендации по серверной авторизации.
Пройдите путь от разведки до доступа к данным и изучите мини-отчёт с рекомендациями.
Попробовать пентест в игреДо старта
Для предварительной оценки достаточно описать систему и задачу. Письменное разрешение, доступы, тестовые данные и ограничения согласуем до активной проверки.
Стоимость
Пентест небольшого API-проекта стоит от 40 000 ₽. Цена определяется числом операций, объектов, ролей и организаций, сложностью авторизации и интеграций. Количество endpoint помогает оценке, но не отражает всю сложность: один метод с несколькими бизнес-сценариями может требовать подробной ручной проверки.
После знакомства с документацией согласуем объём, сроки, стоимость и формат отчёта. Если API используется сайтом, его серверные методы и веб-интерфейс можно включить в единую программу. Границы API-пентеста и отдельной проверки мобильного клиента обозначаем явно.
Получить оценкуПеред заказом
Нужно посмотреть границы предыдущей проверки. Если она охватывала только браузерный интерфейс и часть ролей, другие API-операции могли остаться за пределами работ. Сопоставим прежний отчёт с перечнем методов, версиями и ролями, чтобы определить недостающий объём.
Да, формат black box можно согласовать без готовой документации. Для оценки нужны хотя бы адреса, назначение сервиса и разрешённые границы. Документация и тестовые аккаунты помогают точнее определить покрытие, сократить разведку и уделить больше времени бизнес-логике.
Обычно нужны разные роли и несколько пользователей с разными объектами. Для многопользовательского SaaS полезны аккаунты из двух тестовых организаций. Конкретную матрицу согласуем по модели доступа: кто должен видеть, изменять и удалять каждый тип данных.
Нагрузочное тестирование и DDoS в стандартный пентест API не входят. Лимиты и защиту операций оцениваю в согласованных безопасных пределах. Проверки, способные повлиять на доступность, требуют отдельного согласования и подходящего окружения.
Перечень проверенных ролей и операций, описание ограничений, подтверждённые находки с примерами запросов и ответов, оценку влияния и рекомендации. Чувствительные значения в доказательствах маскируются. После исправлений выполняется ретест согласованных сценариев.
Да. Можно ограничить задачу токенами и ролями, изоляцией клиентов, определённой интеграцией или набором критичных методов. Такой отчёт относится именно к выбранному объёму; оставшиеся API и функции перечисляются как ограничения проверки.
Исполнитель и подход
ExZuperi · Head of Security. Работаю с заказчиками удалённо по России, в том числе с компаниями Челябинска. Обсуждаю критичные находки по согласованному каналу и разбираю рекомендации с командой разработки.
Материалы OWASP помогают систематизировать проверки. Конкретное покрытие, версии компонентов и ограничения фиксируются в программе и итоговом отчёте.
Следующий шаг
Пришлите описание продукта, роли, цель проверки и желаемый срок. Я уточню детали и предложу состав работ.