Najważniejsze zastosowania API Scanner

• Wstępny test bezpieczeństwa REST API lub GraphQL tuż przed podłączeniem aplikacji mobilnej, frontendu SPA albo integracji z partnerami.
• Szybki przegląd endpointów po wdrożeniu nowej wersji backendu, aby sprawdzić, czy nie pojawiły się niechciane komunikaty błędów, ślady stack trace lub nadmiernie szczegółowe informacje o środowisku.
• Kontrola konfiguracji nagłówków HTTP dla API, w tym bezpieczeństwa, cache, CORS i podstawowych elementów wpływających na ekspozycję danych.
• Prosty test autoryzacji endpointu, który pozwala porównać zachowanie API z nagłówkami Authorization i bez nich, co pomaga wychwycić przypadki nieprawidłowego egzekwowania uprawnień.
• Rekonesans parametrów zapytania pod kątem prostych wstrzyknięć XSS lub SQLi oraz identyfikacja nazw parametrów, które mogą pełnić rolę potencjalnych sink dla SSRF, na przykład url, callback, target lub endpoint.

Dla kogo przeznaczony jest skaner API

• Dla developerów backendu, którzy chcą po wdrożeniu szybko zobaczyć, jak ich API reaguje na nietypowe żądania i czy nagłówki HTTP są zgodne z rekomendacjami bezpieczeństwa.
• Dla inżynierów DevOps i administratorów, którzy szukają lekkiego narzędzia w przeglądarce do szybkiego sprawdzenia konfiguracji endpointów bez otwierania dodatkowych aplikacji.
• Dla product ownerów i osób odpowiedzialnych za integracje, którym zależy na tym, aby udostępniane partnerom API nie zdradzało zbędnych informacji o środowisku produkcyjnym.
• Dla osób uczących się bezpieczeństwa API, które chcą zrozumieć podstawowe problemy w praktyce, na własnym środowisku testowym, bez konieczności korzystania z ciężkich narzędzi do testów penetracyjnych.

Moduł autoryzacji - test nagłówków Authorization

Opcja Test lekkiej autoryzacji pozwala API Scanner przeprowadzić dwa żądania, jedno z podanymi nagłówkami autoryzacyjnymi, a drugie bez nich, aby sprawdzić, czy endpoint konsekwentnie egzekwuje wymagane uprawnienia i nie zwraca tych samych danych anonimowym klientom.

• Porównuje kody odpowiedzi i nagłówki dla żądania z nagłówkami autoryzacyjnymi oraz bez nagłówków autoryzacji.
• Pomaga wykryć sytuacje, w których endpoint zwraca zbyt wiele informacji także przy braku poprawnego tokena.
• Daje szybki sygnał, czy mechanizm ochrony API nie jest przypadkiem skonfigurowany tylko na części ścieżki lub metody HTTP.

Moduł nagłówków HTTP i odpowiedzi API

Każde skanowanie API generuje podsumowanie odpowiedzi HTTP, w tym kod statusu, nagłówki, finalny adres po przekierowaniach oraz skrócony podgląd treści, co pozwala wychwycić brakujące nagłówki bezpieczeństwa, niepotrzebnie ujawniane informacje o serwerze oraz inne detale, które bywają istotne z punktu widzenia bezpieczeństwa.

• Pokazuje surowe nagłówki HTTP zwrócone przez endpoint, dzięki czemu łatwo sprawdzisz, czy konfiguracja jest spójna z polityką firmy.
• Ułatwia identyfikację nagłówków zdradzających szczegóły technologii lub wersji oprogramowania, które możesz chcieć ukryć.
• Prezentuje fragment body odpowiedzi, co pomaga dostrzec komunikaty debugowe lub inne treści, które nie powinny trafiać do klienta.

Testy XSS i SQLi w parametrach zapytania

Jeśli włączysz prosty test wstrzyknięć, API Scanner doda do wybranego parametru zapytania specjalne wartości testowe, aby zobaczyć, czy marker pojawia się nieprzetworzony w odpowiedzi lub czy aplikacja nie generuje znanych komunikatów błędów SQL, co jest lekką, kontrolowaną metodą na wychwycenie potencjalnych problemów z walidacją danych wejściowych.

• Obserwuje, czy parametr testowy jest reflektowany w treści odpowiedzi bez odpowiedniego kodowania kontekstu HTML lub JSON.
• Szuka w odpowiedzi sygnatur błędów baz danych typowych dla popularnych silników, które mogą wskazywać na problem z obsługą zapytania.
• Wyraźnie podkreśla, że są to testy pierwszego poziomu, które powinny zostać uzupełnione o głębszą analizę i składanie raportu dla zespołu bezpieczeństwa.

Heurystyki SSRF i komunikaty debugowe

Moduł heurystyk SSRF oraz debug pomaga zidentyfikować parametry, które mogą przyjmować adresy URL lub hosty do połączenia, a także wypatrzeć komunikaty błędów, listingi stosu czy inne fragmenty tekstu sugerujące mis konfigurację środowiska produkcyjnego, co jest bardzo przydatne, gdy chcesz uporządkować ekspozycję swojego API przed udostępnieniem go szerszej grupie odbiorców.

• Analizuje nazwy parametrów, aby wykryć pola, które mogą być wykorzystywane do wskazywania adresów zewnętrznych lub wewnętrznych.
• Szuka sygnatur typowych komunikatów debugowych i konfiguracji deweloperskich, które nie powinny być aktywne na produkcji.
• Dodaje znalezione elementy do raportu jako potencjalne obszary do przeglądu, zachęcając do ich sprawdzenia przez osoby techniczne.