API-Sicherheitstest für REST und GraphQL
APIs machen Ihre Daten und Ihre Logik für jeden erreichbar, der sie ansprechen kann. Wir testen Authentifizierung, Autorisierung und Angriffsfläche Ihrer APIs, bestätigen jeden Befund mit einem Proof of Concept und entwickeln den Fix bis in den Code.
Was der Test abdeckt
Die Prüfung betrachtet, wie sich Ihre API unter Angriff verhält:
- Authentifizierung: wie sich Nutzer und Dienste ausweisen.
- Autorisierung: ob ein Nutzer an die Daten eines anderen kommt.
- Die Angriffsfläche der API: Endpunkte, Parameter und was jeder davon preisgibt.
- REST- und GraphQL-Schnittstellen.
- Schwachstellenscan der API, danach Prüfung durch Menschen.
Warum ein Mensch die Befunde prüft
Scanner finden Muster. Fehler in der Autorisierung hängen vom Zusammenhang ab, etwa davon, welcher Nutzer welchen Datensatz sehen darf. Unsere Fachleute testen diese Fälle von Hand und bestätigen jeden mit einem Proof of Concept.
Was Sie erhalten
Einen schriftlichen Bericht mit den Belegen zu jedem Befund, einer CVSS-Bewertung und Hinweisen zur Behebung. Ab dem Plan Growth, der eine Anwendung oder API im Scope enthält, entwickeln wir den Fix bis in den betroffenen Code und prüfen ihn erneut.
Belege aus geprüfter Software
Das öffentliche Verzeichnis führt 387+ geprüfte Apps und 262+ kritische Befunde. Diese vollständigen Berichte zeigen, wie wir unsere Funde dokumentieren:
- SAP: Ein chinesisches Push-SDK in einer Außendienst-App und hartkodierte Firebase-Schlüssel in fünf Apps.
- Nike: Entwicklungs- und Produktiv-Push-Zugangsdaten hartkodiert im ausgelieferten Build.
- Strava: Ein hartkodierter Schlüssel und eine Sicherheitskonfiguration, die nichts schützt.
- Revolut: Das größte Drittanbieter-SDK der Serie und was es an ein US-Unternehmen sendet.
Alle weiteren Untersuchungen stehen im vollständigen Evidence-Ledger.
Starten Sie mit dem Domain Security Test
Der Domain Security Test untersucht eine Domain von außen: ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ein Researcher sieht Ihre Anfrage durch und meldet sich innerhalb eines Werktags.
Pläne und Preise stehen auf der Seite Zugang, die Agenten hinter jeder Prüfung auf der Seite The Squad.
Pläne und Preise stehen unter Access, die Agenten hinter jeder Prüfung unter The Squad und die Rahmenwerke, an denen wir messen, unter Standards.
Stellen Sie Ihre Domain auf die Probe. Reichen Sie sie für eine erste externe Sicherheitsbewertung Ihrer öffentlich erreichbaren Angriffsfläche ein.
Ohne Login, ohne Payloads und ohne Änderungen an Ihren Systemen.
Ein Researcher sieht Ihre Anfrage durch, bevor der Test beginnt, und meldet sich innerhalb eines Werktags. Sie erhalten einen kurzen schriftlichen Report mit unseren Funden, wahrscheinlichen Angriffsszenarien, möglichen finanziellen Auswirkungen und empfohlenen nächsten Schritten, dazu einen exportierbaren Security-Intelligence-Graphen, der die Funde verknüpft.
Fragen zum API-Sicherheitstest
Testen Sie REST und GraphQL?
Ja, beides.
Ist das ein API-Audit oder ein Penetrationstest?
Die Arbeit verbindet beides: eine Prüfung der ganzen Schnittstelle und Angriffstests an den Schwachstellen.
Können Sie die gefundenen Probleme beheben?
Ja. Wir entwickeln den Fix bis in den Code und prüfen ihn erneut.
Was kostet es?
Pläne und Preise stehen auf der Seite Zugang.
Verwandte Seiten
Mehr dazu auf den Seiten App-Sicherheitsprüfung, DSGVO-Prüfung für Apps, NIS2 für Softwareanbieter, Tracker- & SDK-Check, Datenschutz-Audit für KI-Apps, Ausgelagertes SOC, Compliance-Automatisierung, Domain Security Test, Penetrationstest, Cloud-Sicherheitsprüfung und Secure Code Review.
