¿Qué es este servicio?What is this service?

Es la prueba de seguridad de interfaces de programación REST, SOAP o GraphQL: autenticación, autorización por objeto y por función, límites de uso, exposición excesiva de datos y fuzzing de parámetros, guiada por el OWASP API Security Top 10.

A security test of REST, SOAP or GraphQL programming interfaces: authentication, object- and function-level authorisation, rate limits, excessive data exposure and parameter fuzzing, guided by the OWASP API Security Top 10.

¿Para qué se usa?What is it used for?

Sirve porque la API es hoy la superficie de ataque principal y la menos vigilada. La aplicación web puede estar bien protegida mientras la API que la alimenta responde sin verificar quién pregunta. El fallo dominante es la autorización a nivel de objeto: pedir el recurso de otro y que la API lo entregue.

It matters because the API is today the main attack surface and the least watched. The web application can be well protected while the API feeding it answers without checking who is asking. The dominant flaw is object-level authorisation: requesting someone else's resource and having the API hand it over.

Qué beneficios traeBenefits it delivers

Encuentra el fallo de autorización por objeto, que es el número uno del Top 10 de API y el más explotado.
Detecta endpoints no documentados, que existen en casi todas las organizaciones y nadie protege.
Verifica que haya límites de uso, sin los cuales la API se puede vaciar entera a base de peticiones.
Examina la exposición excesiva: APIs que devuelven el objeto completo y dejan que el consumidor filtre.

Finds object-level authorisation flaws, number one in the API Top 10 and the most exploited.
Detects undocumented endpoints, which exist in almost every organisation and nobody protects.
Verifies rate limiting, without which the whole API can be drained request by request.
Reviews excessive exposure: APIs that return the full object and let the client filter it.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

No hay obligación legal específica en Costa Rica.
Si la API mueve datos de tarjeta, aplica PCI-DSS y su exigencia de pruebas de capa de aplicación.
Si expone datos personales, la Ley 8968 exige medidas proporcionales al riesgo.

There is no specific legal obligation in Costa Rica.
If the API moves card data, PCI-DSS and its application-layer testing requirement apply.
If it exposes personal data, Law 8968 requires measures proportionate to the risk.

InternacionalInternational

PCI-DSS exige cubrir la capa de aplicación en el pentest, y las API forman parte de ella.
El RGPD exige verificar la eficacia de las medidas técnicas de forma periódica.
En banca abierta y en sectores regulados, la seguridad de las API suele estar exigida de forma explícita.

PCI-DSS requires penetration testing to cover the application layer, and APIs are part of it.
The GDPR requires regularly verifying the effectiveness of technical measures.
In open banking and regulated sectors, API security is usually explicitly required.

Requisitos mínimosMinimum requirements

Documentación de la API: especificación OpenAPI, colección de peticiones o esquema de GraphQL.
Credenciales de al menos dos cuentas por rol, imprescindible para probar autorización entre objetos.
Un ambiente donde se pueda escribir, no solo leer, porque muchos fallos aparecen en las operaciones de modificación.
Saber si hay un WAF o pasarela delante y si se prueba con él activo o no.

API documentation: an OpenAPI specification, a request collection or the GraphQL schema.
Credentials for at least two accounts per role, essential to test cross-object authorisation.
An environment where writes are possible, not just reads, since many flaws appear in modifying operations.
Knowing whether a WAF or gateway sits in front and whether testing happens with it enabled.

Plazo típico de entregaTypical delivery time

1 a 3 semanas 1 to 3 weeks rango habitual del mercado usual market range

El rango habitual del mercado va de una a tres semanas según la cantidad de endpoints y de roles. Una API pequeña y bien documentada se cubre en cinco días; un conjunto de microservicios con decenas de servicios se va a cuatro semanas o más.

The usual market range runs from one to three weeks depending on the number of endpoints and roles. A small, well-documented API is covered in five days; a microservices estate with dozens of services stretches to four weeks or more.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

APIAPI

Interfaz que permite que dos sistemas se comuniquen entre sí sin intervención humana. Interface allowing two systems to communicate without human intervention.

REST / SOAP / GraphQLREST / SOAP / GraphQL

Los tres estilos habituales de construir APIs. Cambian la forma de la petición y, con ella, la de las pruebas. The three usual styles of building APIs. They change the shape of the request and therefore of the testing.

BOLABOLA

Broken Object Level Authorization: la API entrega un objeto sin verificar que el solicitante tenga derecho a él. Broken Object Level Authorization: the API returns an object without checking the requester is entitled to it.

Rate limitingRate limiting

Límite de peticiones por tiempo, que impide extraer datos de forma masiva o abusar del servicio. A limit on requests over time, preventing bulk data extraction or service abuse.

FuzzingFuzzing

Enviar entradas inesperadas de forma masiva para ver qué se rompe. Sending large volumes of unexpected input to see what breaks.

PentestPentest

Prueba de intrusión: se ataca el sistema con autorización previa y por escrito, para encontrar lo que encontraría un atacante real. Penetration test: the system is attacked with prior written authorisation, to find what a real attacker would find.

CVSSCVSS

Escala estándar para puntuar la severidad de una vulnerabilidad, de 0 a 10. Standard scale for scoring vulnerability severity, from 0 to 10.

RoERoE

Reglas de compromiso: el documento que define qué se puede atacar, cuándo, con qué técnicas y a quién avisar. Rules of Engagement: the document defining what may be attacked, when, with which techniques and who to notify.

RetestRetest

Segunda prueba, después de que el cliente corrige, para verificar que la corrección funcionó. A second test after the client remediates, to verify the fix actually worked.