Como se preparar para um pentest de API
Leitura ~4 min · Atualizado em outubro de 2026
A maior parte do atraso em um teste de API não vem do teste: vem da preparação. Escopo vago, uma conta só, documentação ausente e janela não combinada consomem mais tempo que a execução.
1. NDA e autorização
O teste começa com um documento, não com um terminal. NDA protege o dado; a autorização define alvo, janela, limites e responsável. Sem isso, não há teste legítimo.
2. Escopo e fora de escopo
Liste endpoints, ambientes e o que não pode ser tocado. Sistemas críticos, integrações de terceiros e testes agressivos ficam explicitamente fora. Escopo vago gera achado contestado e retrabalho.
3. Documentação e exemplos
OpenAPI/Swagger, coleção Postman e uma requisição válida por fluxo aceleram o reconhecimento. Se a API usa HMAC, criptografia ou payload codificado, o testador precisa do formato e de uma amostra funcional.
4. Credenciais: duas por perfil
Uma conta só não prova autorização. Para BOLA/IDOR e BFLA, são necessárias duas contas no mesmo perfil e um recurso em cada. Contas administrativas ajudam a testar BFLA.
5. Janela, contato e acesso
Combine horário, taxa de requisição e quem responde durante a janela. Se houver VPN, allowlist ou proxy, isso entra antes do início. Contato ausente é a causa mais comum de pausa.
6. O que atrasa
- Conta única e sem recurso de teste.
- Escopo que muda no meio do teste.
- Documentação desatualizada.
- Alvo trocado sem novo escopo.
Checklist de 10 itens
- NDA assinado.
- Autorização com alvo, janela e responsável.
- Escopo e fora de escopo por escrito.
- OpenAPI/Swagger ou Postman.
- Uma requisição válida por fluxo.
- Duas contas por perfil.
- Um recurso em cada conta.
- Janela e taxa combinadas.
- Contato técnico disponível.
- Acesso de rede (VPN/allowlist) testado.
O processo completo está em metodologia; o que o teste cobre, em o que testamos.
