Ana sayfa Hizmetler API penetrasyon testi
API penetrasyon testi
API penetrasyon testinde, uygulamanızın ve mobil istemcilerinizin kullandığı servisleri kimlik doğrulama, nesne bazlı yetkilendirme ve hata yanıtları açısından elle test ederiz. API dokümantasyonunda yazan uç noktalarla fiilen çalışan istekler aynı liste değildir, bu yüzden ikisini yan yana koyup karşılaştırırız. Sızma testi, imzalı kapsam formundan sonra başlar. Sonunda yönetici özeti ve teknik rapor teslim ederiz.
Son güncelleme: Kasım 2026. API testi, sızma testi hizmetimizin bir parçasıdır ve kapsam görüşmesinde ayrı bir başlık olarak ele alınır.
Ücretsiz penetrasyon testi talep et Örnek rapor iste
API penetrasyon testinde nelere bakıyoruz?
Kimlik doğrulama ve veri sızıntısı
Oturum açmadan yapılan bir istek veri döküyor mu, başka bir hesabın kimliğiyle kayıt okunabiliyor veya yazılabiliyor mu, yönetim işlemleri müşteri oturumuyla çalışıyor mu, bunları kontrol ederiz. Hata yanıtlarının gereğinden fazla bilgi verip vermediğine de bakarız: yığın izi, sorgu ya da iç adres gibi bilgiler sızıyor mu? CORS ayarlarının yabancı kaynakları kabul edip etmediğini de inceleriz.
Hız sınırı, parola denemesi ve istek bütünlüğü
Hız sınırı ve parola deneme testleri yalnızca kapsam formunda izin verilmişse ve formdaki sınırlar içinde yapılır. Form yasaklıyorsa bu denemeleri yapmayız. İstek kaçakçılığı ve ana bilgisayar başlığı manipülasyonu gibi, kararlılığı bozmayacak testleri gözlemlenebilir bir sapma olup olmadığına bakarak yürütürüz. Sapma yoksa bu kontrol kapsam kaydında “elendi” olarak kalır.
Yetki matrisi: kendi verisi ve başkasının verisi
İki test hesabı verildiğinde bir yetki matrisi kurarız. Adres, sepet, destek kaydı, sipariş ve dosya gibi nesneler için “kendi kaydıma erişim” ile “başkasının kaydına erişim” ayrı ayrı denenir. Tek bir uç noktada bile başkasının kaydına yazılabiliyorsa bu bir bulgudur. Diğer uç noktalarda sonuç çıkmazsa kapsam kaydında “elendi” olarak durur. Yalnızca tek hesap verilirse bu matris eksik kalır ve rapora açık kalan nokta olarak yazılır.
Dokümantasyon ile gerçek istekler
Yayımlanmış API dokümanı bir listedir, gerçekte çalışan istekler başka bir listedir. İkisini karşılaştırırız. Dokümanda olup hiç çağrılmayan uç noktalar kapsam kaydında yer alır. Çağrılıp dokümanda olmayan uç noktalar da aynı şekilde kayda geçer. “Dokümanda yazıyor” demek tek başına test edildi anlamına gelmez.
Kimlik şeması çözülemezse bu alan “temiz” yazılmaz, açık kalan nokta olarak raporlanır. Devam edebilmek için bir anahtar, mobil uygulama trafiği ya da kurumun verdiği örnek bir istek gerekir. Aynı denemeyi altmış kez deneyip aynı reddi alırsak, bunu da kanıt olarak yazarız. Yetkisiz erişim üretmeye çalışmayız.
Teste başlamadan önce kapsam formunda neler netleşir?
Test, formda yazmayan hiçbir şeye dokunmaz. Kapsam formunda şunlar belirlenir:
- Adres: Dokümandaki uç noktalar ile fiilen çalışan istekler yan yana yazılır.
- Ortam: Test anahtarı ile üretim anahtarı ayrı ayrı yazılır.
- Hesap: İki hesap verilirse yetki matrisi kurulur. Tek hesapta matris eksik kalır ve açık kalan nokta olarak yazılır.
- Yasaklar: Formda yasak varsa parola denemesi yapılmaz.
- Hız: Denemeler, formdaki hız sınırının içinde kalır.
API sızma testi raporunda neler yer alır?
Her bulgu, çağrının istek ve yanıtıyla birlikte vekil kaydı olarak iç klasöre girer. Teknik raporda bu istek ve yanıt çifti maskelenir. Bulgu kartında sorumlu taraf da yazar: düzeltme bir platformdaysa platform, kurumun kendi anahtarındaysa kurum.
Yönetici özeti, API’de çıkan bir bulgunun yönetici için ne anlama geldiğini anlatır. Teknik rapor ise geliştiricinin okuyacağı çağrıyı ve düzeltme önerisini içerir. İkisi birlikte teslim edilir.
Web arayüzü ayrı bir testtir: web uygulaması sızma testi. Test öncesi izin ve sınırlar için kapsam formunu indirin. Formda kilitlenenler ayrı yazıda da anlatılır.
Sık sorulan sorular
API penetrasyon testi için hangi bilgileri vermem gerekir?
API dokümantasyonu, test ve üretim anahtarları ve mümkünse iki ayrı test hesabı yeterlidir. Doküman yoksa mobil uygulama trafiği ya da kurumun vereceği örnek istekler de kullanılabilir.
API testinde neden iki hesap isteniyor?
Bir kullanıcının başka bir kullanıcının verisine erişip erişemediğini yalnızca iki hesapla görebiliriz. Tek hesapla bu kontrol yapılamaz ve rapora açık kalan nokta olarak yazılır.
API penetrasyon testi üretim ortamında yapılır mı?
Kapsam formunda izin verilmişse yapılır. Üretim ve test anahtarları ayrı yazılır, denemeler formdaki hız sınırının içinde kalır.
API testi ile web uygulaması testi aynı şey mi?
Hayır. Web testi kullanıcının tarayıcıda gördüğü uygulamaya, API testi ise arkada çalışan servislere odaklanır. Çoğu kurum ikisini birlikte ister, kapsamı birlikte belirleriz.
Düzeltmeden sonra yeniden test yapılıyor mu?
Evet. Düzeltmeler tamamlandığında aynı bulgular aynı ortamda tekrar test edilir. Bu tur yeniden test sayfasında anlatılır.
API’niz için ücretsiz penetrasyon testi başvurusu
Test etmek istediğiniz servisleri ve size uygun tarihi iletin, kapsamı birlikte netleştirelim.