API’ler ürününüzün gizleyemeyeceğiniz kısmıdır.
API’ler iş mantığını doğrudan açığa çıkarır. Kimlik doğrulama boşlukları, bozuk nesne düzeyi yetkilendirme ve aşırı veri ifşası yaygındır ve çoğu zaman arayüzden görünmez.
Arayüzlerinizin çağıranları nasıl doğruladığını, yetkilendirmeyi nasıl uyguladığını ve veriyi nasıl işlediğini inceler, ardından düzeltmelerin geçerli olduğunu doğrulamanıza yardımcı oluruz.
API’lerini istemcilere, iş ortaklarına veya herkese açan ekipler için
Tam olarak kontrol etmediğiniz biri tarafından erişilebilen her arayüz kapsam içindedir.
- Herkese açık veya iş ortağına dönük REST ve GraphQL API’leri
- Mobil arka uçları ve tek sayfa uygulaması API’leri
- Ağ geçitleri veya paylaşımlı ağlar üzerinden açılan iç API’ler
- Webhook ve üçüncü taraf entegrasyon uç noktaları
API güvenliği çalışması neleri kapsar
Yaklaşımımız kanıt odaklıdır: her kontrol edilebilir bir kayda bağlanır.
- Kimlik doğrulama ve token işleme incelemesi
- Nesne ve fonksiyon düzeyi yetkilendirme kontrolleri
- Hız sınırlama, numaralandırma ve kötüye kullanım direnci incelemesi
- Veri ifşası ve aşırı yanıt analizi
- Bulguların somut sözleşme veya kod değişiklikleri olarak ifadesi
Kapsam ve sınırlar
Ne yapmadığımızı net biçimde söylemek, ne yaptığımızdan emin olmanızı sağlar.
Önemli
- Yalnızca sahip olduğunuz ve yetki verdiğiniz uç noktalar test edilir
- Kimlik bilgisi doldurma, kaba kuvvet veya veri sızdırma yoktur
- Üretim testi hız sınırlıdır ve durdurulabilir
- Bulgular minimum, hassas olmayan kanıtla kaydedilir
Keşiften kanıta, çalışma akışı.
Her adım bir sonrakinin girdisini üretir; hiçbir adım atlanmaz.
- 01
Say
Erişilebilir yüzeyi ve isteklerin nasıl güvenildiğini belirleriz.
- 02
Yokla
Sınırlı, yetkili testler yetkilendirme ve veri işleme kusurlarını hedefler.
- 03
Önceliklendir
Bulgular gerçekçi istismar edilebilirlik ve etkiye göre sıralanır.
- 04
Doğrula
Yeniden testler her düzeltmeyi özgün bulguya karşı doğrular.
Bu kapsamı birlikte planlayalım.
Kapsamı birlikte netleştirelim. İlk görüşme bağlayıcı değildir.