Abrir carpeta
Selecciona el directorio de tu proyecto.
Flujos de trabajo
Evaluación de seguridad de API con Orso Connect
03
Verifica tu API en staging
Abre la carpeta de tu proyecto en Orso Connect y pídele al agente que revise el flujo de inicio de sesión, por ejemplo, si se requiere MFA, y que envíe solicitudes GET a tu servidor de staging. Revisas los resultados en la ventana de chat, donde el agente podría explicar por qué no se requiere MFA para las APIs en ciertos contextos.
Leer configuración
El agente lee el archivo de configuración.
Enviar solicitud
El agente envía una solicitud de prueba.
Verificar resultado
Revisa el código de estado devuelto.
Plan de prueba de ejemplo
Lee el archivo del plan y ejecuta las verificaciones una por una con un comando de prueba, preguntando antes de realizar cambios.
- read_file
api-test-plan.txt18 líneas - grep
check 11 coincidencia - Shell
run testexit 0 - edit_file
report.mdguardado
esperando tu aprobación antes del siguiente pasoRechazarAceptar
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Este archivo de texto plano define las verificaciones específicas para el entorno de staging. Enumera los resultados esperados para cada solicitud para verificar el comportamiento de la API.
Pruebas de JWT y revisión de alcance
Revisar tokens
El agente usa read_file para confirmar las reclamaciones de emisor y audiencia en la configuración, y una solicitud de prueba con un token expirado en staging debería devolver 403. Esto es jwt testing. Revisas la salida detallada cuidadosamente en modo Ask first antes de aceptar cualquier cambio. Maneja IDOR en APIs verificando que el usuario A no pueda leer los registros del usuario B. El agente registra los resultados de la prueba para tu informe de api security assessment. No sale telemetría de tu PC durante el proceso y los secretos se enmascaran. Las actualizaciones están disponibles mediante el botón Actualizar cuando las nuevas versiones estén listas. Los comentarios se envían usando el botón dentro de la aplicación para compartir tu experiencia.
Verificar alcance
El agente usa grep para listar las definiciones de rutas para que las compares con tu alcance aprobado y verifiques la estructura de manera clara y completa. El modo Ask first se pausa. Envía solicitudes al servidor de staging para verificar las respuestas. Revisas los códigos de estado devueltos por el servidor cuidadosamente. Los puntos finales de API públicos que exponen datos personales necesitan una revisión cuidadosa ahora. Leer la configuración de límites de tasa es una pregunta para confirmar la lógica. Revisas los mensajes de error para detectar cualquier fuga de datos. Esto es parte de la api security assessment para pruebas de seguridad.
