BOLA/IDOR e autorização por objeto/função
Verificar se identidade e contexto realmente limitam ações e dados.
API Security
Sua API pode estar funcionando perfeitamente e ainda assim estar exposta.
Avaliamos autorização, objetos, tokens, rate limits e lógica de negócio para encontrar riscos que scanners frequentemente não enxergam.
Onde geramos impacto
O trabalho certo para o problema certo.
Sem pacote fechado: combinamos estratégia e execução conforme o que precisa mudar.
JWT, OAuth, sessões e tokens
Ciclo de vida, escopo, validação e uso indevido.
Rate limiting, mass assignment e lógica de negócio
Condições de abuso que não dependem de payload clássico.
REST, GraphQL e endpoints administrativos
Superfície, validação, introspecção e funções sensíveis.
Quando vale agir
Alguns sinais mostram que adiar já custa caro.
Quando o atrito começa a aparecer na operação, no cliente ou no time, já existe impacto acontecendo.
API é usada por app, parceiros ou múltiplos clientes.
Autorização precisa funcionar sem depender da interface.
Endpoints manipulam dados sensíveis ou financeiros.
Impacto aumenta e controles precisam de validação dedicada.
A arquitetura de autenticação foi alterada.
Tokens e escopos merecem nova avaliação.
O que fica na sua mão
Entrega que continua fazendo sentido depois do go-live.
Você recebe decisões, implementação e documentação com clareza suficiente para operar e evoluir.
Cobertura de endpoints e perfis
Escopo e identidades testadas documentados.
Evidências e impacto
Descrição reproduzível sem exposição pública.
Validação de correções
Quando previsto.
Antes de decidir
Perguntas que vale responder antes de começar.
Sem resposta evasiva e sem transformar toda dúvida em reunião comercial.
01Vocês seguem OWASP API Security Top 10?+
Pode ser usada como uma das referências de cobertura, sem limitar o teste a um checklist.
02Precisa fornecer documentação da API?+
Documentação, coleções e contas de teste aumentam eficiência e cobertura, mas o modelo depende do tipo de avaliação.
03GraphQL pode ser testado?+
Sim, quando estiver dentro do escopo autorizado.
Próximo passo
Seu próximo passo não precisa começar com um escopo. Pode começar com o problema.
Explique o cenário em poucas linhas. A gente ajuda a transformar isso em uma decisão mais clara.
Conversar sobre meu cenário ↗