Ouvrir le dossier
Sélectionnez le répertoire de votre projet.
Flux de travail
Évaluation de la sécurité API avec Orso Connect
03
Vérifiez votre API de staging
Ouvrez le dossier de votre projet dans Orso Connect et demandez à l'agent d'examiner le flux de connexion, par exemple pour vérifier si l'authentification multifacteur (MFA) est requise, et d'envoyer des requêtes GET à votre serveur de staging. Vous examinez les résultats dans la fenêtre de chat, où l'agent peut expliquer pourquoi la MFA n'est pas exigée pour les API dans certains contextes.
Lire la configuration
L'agent lit le fichier de configuration.
Envoyer la requête
L'agent envoie une requête de test.
Vérifier le résultat
Examinez le code d'état retourné.
Exemple de plan de test
Lisez le fichier de plan et exécutez les vérifications une par une avec une commande de test, en demandant avant les modifications.
- read_file
api-test-plan.txt18 lignes - grep
check 11 correspondance - Shell
run testexit 0 - edit_file
report.mdsauvegardé
En attente de votre accord avant l’étape suivanteRejeterAccepter
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Ce fichier texte brut définit les vérifications spécifiques pour l'environnement de staging. Il liste les résultats attendus pour chaque requête afin de vérifier le comportement de l'API.
Tests JWT et examen du périmètre
Examiner les jetons
L'agent utilise read_file pour confirmer les revendications d'émetteur et d'audience dans la configuration, et une requête de test avec un jeton expiré sur le staging devrait retourner 403. Il s'agit de tests JWT. Vous examinez attentivement les résultats détaillés en mode Ask first avant d'accepter toute modification. Gérez les IDOR dans les API en vérifiant que l'utilisateur A ne peut pas lire les enregistrements de l'utilisateur B. L'agent enregistre les résultats des tests pour votre rapport d'évaluation de sécurité API. Aucune télémétrie ne quitte votre PC pendant le processus et les secrets sont masqués. Des mises à jour sont disponibles via le bouton Mise à jour lorsque de nouvelles versions sont prêtes. Les retours sont envoyés via le bouton intégré à l'application pour partager votre expérience.
Vérifier le périmètre
L'agent utilise grep pour lister les définitions de routes afin que vous les compariez à votre périmètre approuvé et vérifiez la structure clairement et complètement. Le mode Ask first met en pause. Il envoie des requêtes au serveur de staging pour vérifier les réponses. Vous examinez attentivement les codes d'état retournés par le serveur. Les points de terminaison d'API publics exposant des données personnelles nécessitent un examen attentif maintenant. La lecture des paramètres de limitation de débit est une question pour confirmer la logique. Vous examinez les messages d'erreur pour détecter toute fuite de données. Cela fait partie de l'évaluation de sécurité API pour les tests de sécurité.
