Penetration Testing API.
Penetration testing API (pentest API) adalah asesmen keamanan manual terhadap API REST dan GraphQL Anda — berfokus pada otorisasi, kontrol akses tingkat objek (BOLA/IDOR), autentikasi, dan injection — untuk menemukan dan membuktikan cacat yang terlewat oleh pemindai otomatis pada layanan yang menggerakkan aplikasi Anda.
Kami menguji setiap endpoint terhadap OWASP API Security Top 10, bekerja dari dokumentasi, trafik, atau pass penemuan ketika spesifikasi tidak tersedia.
Broken object-level auth (BOLA/IDOR)
Risiko API nomor satu — mengakses objek pengguna atau tenant lain dengan memanipulasi identifier.
Autentikasi rusak
Token lemah, kelemahan JWT, tidak adanya rate limit pada autentikasi, dan paparan credential stuffing.
Otorisasi fungsi & properti
Eskalasi hak akses melalui metode tersembunyi, dan mass assignment yang membiarkan klien mengatur field yang seharusnya tidak boleh.
Injection & SSRF
SQL/NoSQL injection, command injection, dan server-side request forgery lewat parameter API.
Khusus GraphQL
Penyalahgunaan introspection, serangan batching, query bersarang dalam, dan celah otorisasi tingkat field.
Rate limiting & penggunaan sumber daya
Konsumsi sumber daya tanpa batas dan penyalahgunaan alur bisnis yang memicu denial-of-wallet atau fraud.
- check_circle Ringkasan eksekutif yang mengaitkan risiko API dengan dampak bisnis nyata.
- check_circle Setiap temuan dengan langkah reproduksi, bukti, dan tingkat keparahan ber-skor CVSS.
- check_circle Perbaikan siap-developer untuk setiap endpoint dan kelas isu.
- check_circle Pengujian ulang (retest) gratis untuk memastikan perbaikan Anda efektif.
Pengujian API selaras dengan OWASP API Security Top 10 dan dipetakan ke konteks regulasi Indonesia. Warpstar adalah kolektif operator bersertifikat; kami tidak mengklaim sertifikasi organisasi yang tidak kami miliki.
Apakah Anda menguji API REST dan GraphQL? add
Ya. Kami menguji API REST, GraphQL, dan SOAP. GraphQL mendapat perhatian khusus untuk introspection, batching, dan penyalahgunaan query bersarang di atas pemeriksaan otorisasi dan injection standar.
Apakah Anda memerlukan dokumentasi API? add
Membantu, tetapi tidak wajib. Kami bekerja dari spesifikasi OpenAPI/Swagger, koleksi Postman, atau trafik yang ditangkap. Jika tidak ada, kami dapat menemukan endpoint sebagai bagian dari engagement.
Bukankah API sudah tercakup dalam pentest web? add
Pentest web mencakup API di balik aplikasi tertentu itu. Pentest API khusus tepat dipilih ketika API adalah produk berdiri sendiri, melayani klien mobile atau pihak ketiga, atau memiliki banyak endpoint yang memerlukan pengujian otorisasi terfokus.
Berapa biaya pentest API? add
Biaya menyesuaikan jumlah endpoint dan peran dalam ruang lingkup. Kirimkan spesifikasi atau daftar endpoint Anda dan kami berikan penawaran tetap di awal.