Pentest de API: proteja a porta por onde passam os seus dados
Aplicativos, parceiros, integrações de pagamento e Open Finance conversam com o seu sistema por APIs. Uma falha de autorização em uma única rota pode expor dados de todos os clientes. O pentest de API da LC Sec testa cada rota como um atacante faria e entrega um plano de correção que o time de desenvolvimento consegue executar.
Autorização rota por rota
Cada rota é chamada com usuários de níveis e empresas diferentes, para provar se alguém acessa o que não devia trocando um identificador.
Guiado pela documentação
Swagger/OpenAPI ou coleção do Postman ampliam a cobertura no mesmo prazo. Sem documentação, o teste também é possível, no modelo blackbox.
Prova de conceito e reteste
Cada achado vem com a requisição e a resposta que comprovam a falha, e o pentest inclui 1 reteste completo gratuito em até 90 dias.
Por que APIs precisam de um pentest próprio
Uma API não tem tela. Muitas falhas só aparecem quando alguém troca um número de identificação na requisição, chama uma função sem ter o perfil certo ou recebe mais dados do que a tela mostraria. Scanners comuns de site passam por cima desses problemas.
Por isso o teste de API é manual, guiado pela documentação (Swagger/OpenAPI ou coleção do Postman) e feito com usuários de perfis diferentes. O que testamos:
- Autorização por objeto (BOLA): se um usuário consegue acessar o pedido, a conta ou o documento de outro trocando um identificador
- Autorização por função (BFLA): se um usuário comum consegue chamar rotas de administrador
- Autorização por propriedade (BOPLA): se a API devolve ou aceita campos que não deveria, como saldo, perfil ou limite
- Autenticação e tokens: OAuth2, JWT, chaves de API, expiração e revogação
- Limites de uso: proteção contra abuso, força bruta e consumo excessivo
- Fluxos de negócio sensíveis: pagamentos, transferências, cadastro e recuperação de conta
- Inventário: versões antigas e rotas esquecidas que continuam no ar
Referenciais públicos, achados comparáveis
O pentest de API da LC Sec segue referenciais públicos. A tabela mostra como cada um aparece no trabalho e no relatório.
| Referencial | Como aparece no pentest de API |
|---|---|
| OWASP API Security Top 10 (2023) | Base da cobertura de riscos, incluindo BOLA, BFLA e BOPLA. |
| OWASP WSTG e ASVS | Roteiro de testes e verificação de controles. |
| CVSS v3.1 | Severidade de cada achado, para priorizar a correção. |
| MITRE ATT&CK | Técnicas registradas no relatório, para o time de monitoramento. |
Para quem o pentest de API é indicado
Empresas e instituições que:
- São bancos digitais, fintechs ou instituições que operam Pix ou Open Finance
- Têm produto SaaS com API pública ou integrações com clientes
- Têm aplicativo mobile, já que o app quase sempre depende de uma API
- Precisam de evidência para auditoria, due diligence ou exigência regulatória (Resolução CMN 4.893, alterada pela CMN 5.274/2025, Resolução BCB 538/2025, PCI DSS e ISO 27001)
Da documentação ao reteste
Testes com perfis diferentes em cada rota, dentro de regras combinadas por escrito.
Definimos rotas, ambientes, perfis de usuário e documentação disponível. Lemos a documentação e procuramos rotas não documentadas.
Cada rota é chamada com usuários de níveis e empresas diferentes, para validar autorização, autenticação e exposição de dados.
Sem alterar dados reais e dentro das regras combinadas, confirmamos o que é explorável e o impacto de cada falha.
Achados com a requisição e a resposta de cada falha e plano de correção, apresentados ao seu time. Depois, 1 reteste completo gratuito em até 90 dias, com carta de reteste.
O que você recebe
Documentação que o desenvolvedor aplica e o auditor confere:
- Sumário executivo para a diretoria
- Lista de vulnerabilidades com severidade CVSS, rota afetada e prova de conceito
- Recomendação de correção por achado, em linguagem que o desenvolvedor aplica
- Reunião de apresentação e carta de reteste
Quem conduz o pentest de API
O pentest é conduzido sob responsabilidade de Luiz Lopes, fundador da LC Sec, com 12 anos de experiência em segurança em ambientes críticos dos setores financeiro, saúde e tecnologia.
- Empresa brasileira de cibersegurança com sede em São Paulo e atuação em todo o Brasil
- Testes em APIs REST com OAuth2 e JWT, cobrindo o OWASP API Security Top 10 (2023)
- Relatório com severidade CVSS v3.1 e mapeamento MITRE ATT&CK
- 1 reteste completo gratuito em até 90 dias após o relatório, com carta de reteste
Sua API está pronta para um atacante?
Fale com um especialista da LC Sec e receba uma proposta de escopo para o pentest da sua API.
Conte como a sua API é usada
Deixe seus dados e um especialista da LC Sec entra em contato para entender as rotas, os perfis de usuário e a documentação disponível, e enviar a proposta de escopo.
Alertas de cibersegurança direto no Telegram
Vazamentos, vulnerabilidades críticas e tendências, com curadoria diária da nossa equipe de threat intel. Entre no canal oficial e fique à frente das ameaças.
Perguntas frequentes (FAQ)
1 – Preciso enviar a documentação da API?+
Ajuda muito. Com Swagger/OpenAPI ou coleção do Postman o teste cobre mais rotas no mesmo prazo. Sem documentação também é possível, no modelo blackbox.
2 – O teste é feito em produção?+
De preferência em homologação, com dados de teste. Em produção, só com regras e janelas combinadas.
3 – O reteste está incluído?+
Sim. 1 reteste completo gratuito em até 90 dias após o relatório, com carta de reteste.
4 – Quanto custa?+
Depende do número de rotas e perfis de usuário. A LC Sec monta a proposta depois de uma conversa de escopo. As faixas de mercado estão no artigo quanto custa um pentest em 2026, no blog da LC Sec.
5 – Qual a diferença entre pentest de API e pentest web?+
O pentest web cobre a aplicação usada no navegador e as APIs que ela consome. Quando a API é usada por aplicativos, parceiros ou integrações, ela precisa de um teste próprio, rota por rota e com perfis diferentes. Muitas vezes os dois são feitos juntos, cada um com o seu relatório.