Como Preparar Sua API para Pentest

1. Inventário Completo de Endpoints

Documentação da API

• Especificação OpenAPI/Swagger: Mantenha documentação atualizada com todos os endpoints, métodos HTTP, parâmetros e responses
• Endpoints públicos vs privados: Identifique claramente quais endpoints são públicos e quais requerem autenticação
• Versionamento: Documente todas as versões da API em uso e suas diferenças
• Rate limits: Especifique limites de requisições para evitar bloqueios durante o teste

Fluxos de Negócio

• Documente fluxos críticos (registro, login, checkout, pagamentos)
• Identifique dependências entre endpoints e ordem de execução
• Mapeie integrações com serviços de terceiros

2. Controle de Autenticação e Autorização

Mecanismos de Autenticação

• Documente o método: JWT, OAuth 2.0, API Keys, Session-based
• Tempo de expiração: Especifique TTL de tokens e refresh tokens
• Headers necessários: Liste todos os headers de autenticação (Authorization, X-API-Key, etc.)

Roles e Permissões

• Mapeie todos os roles: Admin, User, Guest, etc. com suas permissões específicas
• Matriz de acesso: Crie tabela mostrando quais roles podem acessar quais endpoints
• Casos especiais: Documente permissões condicionais ou baseadas em contexto

3. Proteções e Validações Implementadas

Validação de Input

• Schemas de validação: Documente regras de validação para cada endpoint (tipos, tamanhos, formatos)
• Sanitização: Descreva como inputs são sanitizados contra XSS, SQL Injection, etc.
• Mensagens de erro: Revise que erros não exponham informações sensíveis

Proteções Contra Ataques Comuns

• SQL Injection: Uso de prepared statements, ORMs, validação de queries
• NoSQL Injection: Validação de queries MongoDB, sanitização de operadores
• SSRF: Whitelist de domínios, bloqueio de IPs privados
• Deserialização insegura: Validação de payloads JSON/XML
• CSRF: Tokens CSRF, validação de origin/referer

4. Rate Limiting e Monitoramento

Limites de Taxa

• Documente limites: Requisições por minuto/hora para cada endpoint ou usuário
• Whitelist para pentest: Configure IP ou API key do pentester com limites elevados
• Comportamento ao exceder: Especifique response codes e retry-after headers

Logging e Alertas

• Logs detalhados: Configure logging de todas as requisições durante o pentest
• Alertas temporários: Ajuste thresholds de alertas para evitar falsos positivos durante testes
• Monitoramento em tempo real: Tenha dashboards disponíveis para acompanhar o teste

5. Ambiente de Teste Isolado

Configuração do Ambiente

• Ambiente dedicado: Use staging ou ambiente específico para pentest, nunca produção
• Paridade com produção: Garanta que configurações e código sejam idênticos à produção
• Isolamento de dados: Use dados sintéticos ou anonimizados, nunca dados reais de clientes
• Backup antes do teste: Faça snapshot do ambiente para restauração rápida se necessário

Dados de Teste

• Contas de teste: Crie usuários com diferentes roles e permissões
• Dados realistas: Popule banco com volume e variedade de dados representativos
• Credenciais documentadas: Forneça lista de usuários, senhas e tokens de teste
• Reset automático: Configure scripts para resetar dados entre sessões de teste

6. Checklist Final Pré-Pentest