Map openen
Selecteer je projectmap.
Werkstromen
API-beveiligingstest met Orso Connect
03
Controleer je staging-API
Open je projectmap in Orso Connect en vraag de agent om de inlogstroom te beoordelen, bijvoorbeeld of MFA verplicht is, en stuur GET-verzoeken naar je staging-server. Je beoordeelt de resultaten in het chatvenster, waar de agent kan uitleggen waarom MFA voor API's in bepaalde contexten niet verplicht is.
Configuratie lezen
Agent leest het instellingenbestand.
Verzoek verzenden
Agent stuurt een testverzoek.
Resultaat controleren
Beoordeel de uitvoer van de statuscode.
Voorbeeld testplan
Lees het planbestand en voer de controles één voor één uit met een testcommando, vraag eerst toestemming voor wijzigingen.
- read_file
api-test-plan.txt18 regels - grep
check 11 match - Shell
run testexit 0 - edit_file
report.mdopgeslagen
wacht op jouw goedkeuring voordat de volgende stap wordt uitgevoerdAfwijzenAccepteren
api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200Dit platte tekstbestand definieert de specifieke controles voor de staging-omgeving. Het bevat de verwachte resultaten voor elk verzoek om het API-gedrag te verifiëren.
JWT-testen en scope-beoordeling
Tokens beoordelen
De agent gebruikt read_file om de issuer- en audience-claims in de configuratie te bevestigen, en een testverzoek met een verlopen token op staging moet 403 retourneren. Dit is JWT-testen. Je beoordeelt de gedetailleerde uitvoer zorgvuldig in Ask first-modus voordat je wijzigingen accepteert. Behandel IDOR in API's door te controleren of gebruiker A geen records van gebruiker B kan lezen. De agent registreert de testresultaten voor je API-beveiligingstestrapport. Er vertrekt geen telemetrie naar buiten tijdens het proces en geheimen worden geredigeerd. Updates zijn beschikbaar via de knop Bijwerken wanneer nieuwe versies gereed zijn. Feedback wordt verzonden via de knop in de app om je ervaring te delen.
Scope controleren
De agent gebruikt grep om routedefinities op te sommen, zodat je deze kunt vergelijken met je goedgekeurde scope en de structuur duidelijk en volledig verifieert. Ask first-modus pauzeert. Het verzendt verzoeken naar de staging-server om de reacties te verifiëren. Je beoordeelt de door de server teruggegeven statuscodes zorgvuldig. Publieke API-eindpunten die persoonlijke gegevens blootstellen, moeten nu zorgvuldig worden beoordeeld. Het lezen van rate-limit-instellingen is een vraag om de logica te bevestigen. Je beoordeelt de foutmeldingen op eventuele lekken in de gegevens. Dit is onderdeel van API-beveiligingstest voor beveiligingstesten.
