Il pentest delle API individua autenticazione debole, autorizzazioni aggirabili e dati esposti nelle interfacce che collegano i sistemi aziendali. A Messina è utile a chi gestisce prenotazioni traghetti, tracciamento merci della logistica dello Stretto e integrazioni tra gestionali, dove un endpoint mal protetto apre l'accesso a interi archivi.
Perché testare le API e non solo il sito
Molte violazioni non passano dall'interfaccia web ma dagli endpoint che la alimentano: un'API di prenotazione traghetti o di tracking merci può restituire dati di altri utenti se l'autorizzazione è controllata solo lato client. Verifico ogni endpoint con richieste manipolate, non solo con scanner automatici.
Cosa consegno dopo il test
Un report che elenca vulnerabilità come BOLA/IDOR, autenticazione rotta, rate limiting assente e data exposure, ciascuna con richiesta di esempio, impatto e correzione. Dove possibile rifaccio il test dopo le correzioni per confermare la chiusura.
Testate anche API GraphQL oltre a REST?
Sì. Su GraphQL verifico introspection esposta, query annidate che causano denial of service e controlli di autorizzazione sui singoli campi, oltre ai classici problemi REST.
Serve l'ambiente di produzione o uno di test?
Preferisco un ambiente di staging con dati non reali. Se si deve testare in produzione concordiamo finestre e limiti per non impattare le prenotazioni o la logistica attiva.
Mi serve la documentazione delle API?
Aiuta molto (OpenAPI/Swagger, collezioni Postman) ma non è obbligatoria: posso ricostruire gli endpoint dal traffico dell'applicazione.
Vuoi sapere come pentest api può proteggere la tua attività a Messina? Richiedi un preventivo gratuito.
Richiedi consulenza gratuita →