Metodologia de pentest de API: as seis fases
Leitura ~5 min · Atualizado em outubro de 2026
O teste segue o processo do PTES e as classes do OWASP API Security Top 10 (2023). No Na Metodologia Express, escopo, reconhecimento, autenticação, autorização e entrega rodam em 48h. Fuzzing profundo, GraphQL e teste com código-fonte entram apenas quando estão no escopo assinado.
01 · Planejamento e escopo
Antes de qualquer requisição, definimos alvo, endpoints, tipo de caixa (black, grey ou white), janela de execução, contato técnico e limites. O escopo é assinado e nada fora dele é testado. É a fase que separa teste autorizado de incidente.
Evidência: Escopo assinado com alvo, janela, limites e responsável.
02 · Reconhecimento e mapeamento
Mapeamos a superfície sem tocar em dado: rotas que o front chama, versões antigas, documentação exposta, sourcemaps e o stack por trás. O objetivo é saber o que existe antes de testar o que deveria estar protegido.
Evidência: Inventário de endpoints, documentação exposta e stack detectado.
03 · Autenticação e sessão
Verificamos emissão, expiração, assinatura e revogação de tokens, além de chaves estáticas no bundle, no repositório ou em logs. Token que continua válido no logout e segredo no JavaScript são os achados mais comuns nesta fase.
Evidência: Token aceito após logout, chave exposta e redigida.
04 · Autorização — o ponto crítico
Com duas contas reais, testamos BOLA/IDOR (trocar o ID e ver o recurso de outro usuário), BFLA (conta comum em rota administrativa) e BOPLA (alterar propriedade que o cliente não deveria controlar). É onde a maior parte dos apps gerados por IA falha.
Evidência: Request da conta A retornando recurso da conta B.
05 · Entrada e lógica de negócio
Enviamos payload inválido, campo extra, volume e requisições repetidas para testar validação, limite de uso e fluxo. Em GraphQL, entram profundidade de query, introspection e batching. É a fase mais dependente do tempo e do escopo.
Evidência: Payload aceito sem validação, ausência de 429 e fluxo contornado.
06 · Relatório e remediação
Cada achado sai com severidade, confiança, evidência redigida, impacto de negócio e correção escrita para o stack. O laudo declara o que foi testado e o que ficou fora. Reteste é opcional e confirma o fechamento.
Evidência: Laudo com request, resposta redigida e correção por achado.
Cobertura na Metodologia Express
O recorte de 48h é declarado para não prometer o que o prazo não permite. O que fica fora entra como escopo específico, com orçamento próprio.
| Item | Metodologia Express | Observação |
|---|---|---|
| Black-box em 48h | sim | padrão da Metodologia Express |
| Duas contas de teste | sim | quando fornecidas pelo cliente |
| Reconhecimento passivo | sim | rotas, docs, sourcemaps e stack |
| BOLA, BFLA e BOPLA | sim | com duas contas e recurso real |
| Fuzzing exaustivo | parcial | o que cabe na janela de 48h |
| GraphQL depth e introspection | sob escopo | quando a API usa GraphQL |
| Grey/white box com código | não | exige acesso ao repositório |
| Reteste após correção | opcional | contratado à parte |
Severidade, confiança e CVSS
A classificação primária é severidade — crítica, alta ou média — acompanhada de confiança. Em achados altos e críticos, o laudo traz o vetor CVSS como informação complementar. Nenhuma nota substitui a evidência: o que não conseguimos reproduzir fica fora.
Referências
- OWASP API Security Top 10 (2023)
- PTES — Penetration Testing Execution Standard
- CVSS v3.1 Specification
Veja como se preparar, pentest de API, o que a Metodologia Express inclui e as 20 verificações.
