Servicio de pentest
Pentest de APIs
Una API no tiene pantallas que la escondan: cada endpoint es una puerta. Probamos la autorización endpoint por endpoint y método por método, que es donde se cuela el acceso a datos de otra cuenta.
Qué revisamos
- Autorización a nivel de objeto y de función por cada endpoint (BOLA/BFLA)
- Autenticación de la API, tokens y expiración de sesión
- Abuso de parámetros, mass assignment y validación de entrada
- Exposición excesiva de datos en las respuestas
- Límites de consumo y rate limiting
- OWASP API Security Top 10 como guía de cobertura
Para tu auditoría
Qué controles cubre
Los hallazgos se entregan mapeados a A.8.29, A.8.8 y, cuando la API está expuesta, A.8.20 (seguridad de redes). Cada uno con su clasificación CVSS, pasos de reproducción y plan de remediación, para que el auditor los contraste contra tu SGSI.
Cotizamos por cantidad de endpoints/métodos reales. Si una API es grande, lo decimos antes y no a mitad de camino: el alcance se fija con la documentación en el kick-off.
Otros servicios
Cuéntanos tu caso
Diez minutos de formulario y te damos el alcance y el valor exacto, sin rangos.