Аудит безопасности API: REST, GraphQL и вебхуки

API — главная дверь в ваши данные. Проверяем, что за ней каждый видит только своё.

Собрать проект Типовой проект — 173 800 ₽

Интерфейс сайта может аккуратно прятать кнопки, но сервер отвечает любому, кто правильно сформирует запрос. Мобильное приложение легко разобрать и узнать все адреса методов, а партнёрский ключ рано или поздно оказывается в чьём-то репозитории. Поэтому API нужно проверять отдельно от интерфейса.

Самые частые находки в API банальны: метод отдаёт объект по номеру, не проверяя владельца; в ответе приходит лишнее поле с хешем пароля или внутренней скидкой; старая версия API продолжает работать без авторизации, потому что её «забыли выключить».

Мы опираемся на OWASP API Security Top 10 в редакции 2023 года и на документацию вашего API, если она есть. Если документации нет, восстанавливаем список методов по трафику приложения и согласуем его с вами до начала активной проверки.

Что подготовить к аудиту API

Чем полнее список, тем меньше времени уходит на разведку и тем больше — на ручную проверку.

Адреса тестовой и рабочей среды, если они различаются
Документация Swagger, Postman-коллекция или хотя бы список разделов
По две учётные записи на каждую роль, чтобы проверять доступ к чужому
Тестовый ключ партнёра с типичными правами
Контакт разработчика, который ответит на вопросы о логике

Калькулятор

Аудит безопасности API — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

Выберите пакет

Добавьте нужное

необязательно

+ 24 900 ₽

+ 19 900 ₽

+ 14 900 ₽

от 14 900 ₽ за роль

от 24 900 ₽ за 50 методов1

+ 69 900 ₽

+ 79 900 ₽

+ 49 900 ₽

+ 39 900 ₽

от 24 000 ₽ за 10 ч

+ 14 900 ₽

Ваша смета

Пакет «Орбита»129 000 ₽
Аудит токенов и ключей19 900 ₽
Расширенная проверка API · 1 по 50 методов24 900 ₽

Стоимость работ

0 ₽

Срок: 2–3 недели

Счёт сейчас: 86 900 ₽ — предоплата 50%, остаток после приёмки

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

OWASP API Top 10 на живых примерах

Риск	Как выглядит в жизни
Доступ к чужим объектам (API1)	GET /orders/1043 возвращает заказ другого клиента
Ошибки аутентификации (API2)	Код из SMS можно подбирать без ограничений
Лишние свойства объекта (API3)	Пользователь отправляет role=admin при обновлении профиля
Неограниченное потребление (API4)	Выгрузка всего каталога одним запросом с limit=100000
Права на функции (API5)	Обычный пользователь вызывает метод удаления сотрудников
Запросы к внутренним адресам (API7)	Поле «ссылка на картинку» загружает служебные адреса сервера
Учёт версий (API9)	Старая /v1 работает без проверки токена

Что видит интерфейс и что видит API

В приложении

Кнопка удаления спрятана от менеджера
Показаны имя и телефон клиента
Список заказов только за свой филиал

В ответе сервера

Метод удаления принимает запрос от менеджера
Рядом лежат паспортные данные и внутренний комментарий
Параметр branch можно заменить на любой другой

Пример: API службы доставки для приложения и партнёров

Около 120 методов, клиентское приложение и кабинет партнёров. Пакет «Орбита» (129 000 ₽) + расширенная проверка ещё 100 методов (2 × 24 900 ₽) + вебхуки партнёров (19 900 ₽) + аудит токенов (19 900 ₽). Итог — 218 600 ₽ и около 4 недель. Результат: закрытый перебор чужих накладных, подписанные вебхуки, ключи партнёров с ограниченными правами.

Собрать свой вариант

Вопросы и ответы

Вопросы об аудите API

У нас нет документации к API. Это проблема?

Нет. Восстановим список методов по трафику приложения и сайта. Это займёт пару дней и заодно станет основой будущей документации.

Проверяете API, которое используют партнёры?

Да, если API ваше. Партнёров уведомлять не нужно, но тестовые ключи для проверки должны быть выданы вами, а не взяты у партнёра.

Сломаете ли вы реальные данные?

Изменяющие запросы выполняем на тестовых объектах, созданных для проверки. Если тестовой среды нет, согласуем, какие записи можно трогать.

Поможете исправить?

Да, опцией «Исправление найденного». Чаще всего это проверка владельца объекта в обработчиках и фильтр полей в ответах — работа на несколько дней.

API закрыто от интернета и доступно только из офиса. Есть смысл проверять?

Есть, если к нему ходят мобильные сотрудники через VPN, интеграции подрядчиков или внутренние сервисы. Внутренний периметр обычно защищён слабее, и один заражённый ноутбук получает доступ ко всем методам без ограничений.

Смотрите также

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →