01Sorun ve çözüm
API sızma testi uç noktaları ekrandan bağımsız, doğrudan HTTP istekleriyle inceler. Kimlik doğrulama, nesne ve işlev düzeyinde yetki, veri alanları ve istek sınırları yalnızca sizin listelediğiniz ve yazılı olarak onayladığınız uç noktalarda denenir. Çıktı, kodda nerede hangi kontrolün eksik olduğunu gösteren, uç noktaya bağlı bulgulardır.
02Kimler için
Hangi ekipler API sızma testi yaptırmalı
API yüzeyi büyüdükçe ve dışarıya açıldıkça test ihtiyacı artar.
- Mobil uygulaması ya da tek sayfalı web arayüzü için kendi API'sini işleten yazılım ekipleri
- Bayilerine, iş ortaklarına veya müşterilerine API anahtarı vererek entegrasyon sunan firmalar
- Mikroservis mimarisine geçmiş ve servisler arası çağrıların kimlik doğrulamasını gözden geçirmek isteyen takımlar
- Yeni bir API sürümünü yayınlamadan önce yetki ve veri açığı kontrolü yaptırmak isteyen ürün sahipleri
03İhtiyaçlar
Uç noktalarda en çok zarar veren hatalar
API hataları çoğunlukla sözdizimi değil mantık ve yetki hatasıdır; otomatik araçlar tek başına yetmez.
- 01
Nesne düzeyinde yetki eksikliği
İstekteki bir kimlik numarası değiştirildiğinde başka bir kullanıcının kaydına ulaşılıyorsa, buna BOLA denen yetki hatası vardır. Her rol için sistematik denenir.
- 02
İşlev düzeyinde yetki eksikliği
Sıradan bir hesapla yönetici işlevi taşıyan uç noktaya ulaşmak, silme ya da onaylama gibi işlemlerin yetkisiz yapılmasına yol açar.
- 03
Aşırı veri dönüşü ve toplu atama
Ekranın göstermediği alanların yanıtta dönmesi veya fazladan gönderilen alanların kaydı değiştirmesi sık rastlanan hatalardır.
- 04
Sınırsız istek ve unutulmuş sürümler
Hız sınırı olmayan giriş ve parola sıfırlama uç noktaları deneme-yanılmaya açıktır; eski API sürümleri ise güncelinden zayıf korunuyor olabilir.
04Özellikler
Kapsam, yöntem ve rapor: API sızma testi hizmeti
İstekler ekrandan değil, belgeleriniz ve test hesaplarınız kullanılarak doğrudan üretilir.
- 01
Belge ve envanter karşılaştırması
OpenAPI tanımınız ya da Postman koleksiyonunuz, trafikte gerçekten görülen uç noktalarla karşılaştırılır; belgede olmayan yollar ayrıca listelenir.
- 02
Rol bazlı yetki matrisi
Aynı istekler iki farklı kullanıcı rolü ve yetkisiz bir istemciyle tekrarlanır; kimin neyi görebildiği ve değiştirebildiği tablolaştırılır.
- 03
İş akışı denemeleri
Sipariş, kupon, davet ve parola sıfırlama gibi çok adımlı akışlar adımlar atlanarak veya sırası bozularak sınanır.
- 04
Rapor ve yeniden test
Bulgular uç nokta, yöntem, örnek istek-yanıt ve düzeltme önerisiyle yazılır; düzeltmeden sonra yeniden test yapılır.
05Entegrasyonlar
API testinin bağlandığı yapılar
API tek başına çalışmaz; kimlik sağlayıcıdan ağ geçidine çevresindeki bileşenler de teste girer.
- 01
API ağ geçidi ve WAF
Hız sınırı ve kimlik doğrulama kurallarının ağ geçidinde mi uygulamada mı uygulandığına, atlatılıp atlatılamadığına bakılır.
- 02
Kimlik sağlayıcı ve token yapısı
OAuth 2.0, OpenID Connect veya JWT kullanıyorsanız imza doğrulama, geçerlilik süresi ve kapsam denetimleri ayrıca incelenir.
- 03
Üçüncü taraf servisler
Ödeme, kargo, harita gibi dış API'lerin kendisi test edilmez; yalnızca sizin onlarla kurduğunuz entegrasyonun güvenliğine bakılır. Bulgular sürüm başına tekrarlanabilecek senaryolara çevrilir.
06Süreç
API testi nasıl yürür
Adım 01
Kapsam ve izin
Test edilecek API sürümleri, ortam, kullanıcı rolleri, hız sınırları ve kapsam dışı üçüncü taraf servisler yazılı olarak onaylanır.
Adım 02
Envanter ve hesaplar
API belgeniz alınır; her rol için test hesapları ve örnek istek koleksiyonu hazırlanır.
Adım 03
Keşif
Belgede yer almayan uç noktalar, eski sürümler ve parametreler trafik analizi ve elle denemeyle bulunur.
Adım 04
Yetki ve mantık testleri
Rol ve nesne bazlı yetki, kimlik doğrulama, girdi doğrulama ve iş akışı denemeleri yürütülür.
Adım 05
Raporlama
Bulgular uç noktaya göre, örnek istek ve yanıtlarla yazılır.
Adım 06
Düzeltme ve yeniden test
Bulgular geliştirici ekibinizle gözden geçirilir; kapanan açıklar aynı istekler tekrarlanarak doğrulanır.
07Teknoloji
Bir API sızma testinin dayandığı çerçeveler
Testler OWASP API Security Top 10 listesini kontrol çerçevesi olarak alır; kimlik doğrulama ve oturum konularında OWASP ASVS'nin ilgili bölümlerinden yararlanır. REST standart kapsamdır; GraphQL ve SOAP için kapsam ön görüşmede belirlenir, GraphQL'de şema keşfi ve derin sorgu denemeleri ayrıca yapılır.
Devamını okuDaha az göster
Otomatik tarama çıktısı kanıt değil başlangıç noktasıdır; kritik bulguların çoğu rolleri ve nesne ilişkilerini anlayarak elle üretilen isteklerden çıkar. Bu yüzden sizden kısa bir iş akışı anlatımı isteriz. Canlı ortamda veri değiştiren isteklerde yalnızca test için ayrılmış kayıtlar kullanılır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
API sızma testi hakkında sık sorulan sorular
API sızma testi ile web uygulaması sızma testi aynı şey mi?
İlişkilidir ama aynı değildir. Web testi arayüz üzerinden ilerler, API testi uç noktaları arayüzden bağımsız sınar. Mobil uygulama ve iş ortağı entegrasyonları da aynı API'yi kullandığı için ikisi birlikte planlanabilir.
API sızma testi fiyatları nelere bağlıdır?
Uç nokta sayısı, rol sayısı, kimlik doğrulama yöntemi, belge kalitesi ve iş akışlarının karmaşıklığı. Belgesi eksik bir API'de keşif işi arttığı için kapsam ön görüşmede netleştirilir.
API sızma testi firması test için ne ister?
API belgesi ya da istek koleksiyonu, her rol için test hesapları, kapsamdaki ortamın adresi ve bir iletişim kişisi. Canlı ortamda veri değiştiren isteklerin sınırları yazılı olarak belirlenir.
Üçüncü taraf API'ler de teste dahil mi?
Hayır. Ödeme kuruluşu veya bulut sağlayıcısı gibi dış servislerin altyapısına, onların izni olmadan test yapılmaz. Yalnızca sizin entegrasyonunuz, anahtar saklama biçimi ve hata yönetimi incelenir.
Canlı API üzerinde test yapmak güvenli mi?
Mümkünse canlıya yakın bir test ortamı tercih edilir. Canlıda çalışılacaksa hız sınırlarına uyulur, yıkıcı istekler yapılmaz ve test için ayrılmış hesaplar kullanılır.
10İlgili hizmetler