Pentesting de APIs — REST, GraphQL y WebSocket

Las APIs son el núcleo de las aplicaciones modernas. Un error de seguridad en tu API puede exponer todos los datos de tus usuarios. Nuestro servicio de pentesting de APIs está enfocado exclusivamente en la capa de servicios.

¿Qué evaluamos?

Autenticación y Autorización

  • Implementación de OAuth 2.0, JWT y API Keys
  • Escalamiento de privilegios horizontal y vertical
  • Tokens sin expiración o con firmas débiles
  • Endpoints administrativos sin protección

Validación de Entradas

  • Inyección en parámetros de consulta y cuerpo
  • Bypass de validación del lado del servidor
  • Type juggling y coerción de tipos
  • Abuso de parámetros masivos (mass assignment)

GraphQL Específico

  • Consultas anidadas excesivas (DoS)
  • Introspección habilitada exponiendo el esquema
  • Autorización a nivel de campo y resolver
  • Batching abuse y rate limiting

Seguridad en APIs REST

  • Métodos HTTP no seguros habilitados
  • IDOR (Insecure Direct Object References)
  • Filtrado y paginación vulnerable
  • Rate limiting ausente o insuficiente

Entregables

  • Informe técnico de vulnerabilidades con severidad
  • Pruebas de concepto (PoC) con requests y responses
  • Checklist de hardening de API
  • Sesión de revisión con el equipo de backend