Testando a Segurança de APIs com Postman

Quando Usar

• Construindo suítes repetíveis de testes de segurança de API para cobertura do OWASP API Security Top 10
• Criando testes automatizados de regressão de segurança que rodam em pipelines de CI/CD via Newman
• Testando autenticação e autorização de API em múltiplos papéis de usuário de forma sistemática
• Integrando Postman com o proxy OWASP ZAP para testes de segurança combinados, manuais e automatizados
• Estabelecendo uma coleção de testes de segurança base para novos endpoints de API antes da implantação

Não use contra APIs de produção sem autorização. Testes de segurança com Postman envolvem o envio de payloads potencialmente maliciosos.

Pré-requisitos

• Postman Desktop ou aplicação web com um workspace ativo
• API alvo com especificação OpenAPI/Swagger para importação da coleção
• Contas de teste para pelo menos três papéis: não autenticado, usuário regular, administrador
• Newman CLI instalado para integração CI/CD: npm install -g newman
• OWASP ZAP configurado como proxy local (localhost:8080) para integração de proxy do Postman
• Variáveis de ambiente da API para URL base, tokens e dados de teste

Fluxo de Trabalho

Passo 1: Configuração de Ambiente e Coleção

Crie ambientes Postman para testes multi-papel:

// Environment: API Security Test - Regular User
{
    "values": [
        {"key": "base_url", "value": "https://target-api.example.com/api/v1"},
        {"key": "auth_token", "value": ""},
        {"key": "user_email", "value": "regular@test.com"},
        {"key": "user_password", "value": "TestPass123!"},
        {"key": "user_id", "value": ""},
        {"key": "other_user_id", "value": "1002"},
        {"key": "admin_endpoint", "value": "/admin/users"},
        {"key": "test_order_id", "value": ""},
        {"key": "other_user_order_id", "value": "5003"}
    ]
}

Script de pré-requisição para autenticação automática:

// Collection-level pre-request script for auto-login
if (!pm.environment.get("auth_token") || pm.environment.get("token_expired")) {
    const loginRequest = {
        url: pm.environment.get("base_url") + "/auth/login",
        method: "POST",
        header: {"Content-Type": "application/json"},
        body: {
            mode: "raw",
            raw: JSON.stringify({
                email: pm.environment.get("user_email"),
                password: pm.environment.get("user_password")
            })
        }
    };

    pm.sendRequest(loginRequest, (err, res) => {
        if (!err && res.code === 200) {
            const token = res.json().access_token;
            pm.environment.set("auth_token", token);
            pm.environment.set("user_id", res.json().user.id);
        }
    });
}

Passo 2: Coleção de Testes BOLA (API1)

// Test: Access other user's profile (BOLA)
// Request: GET {{base_url}}/users/{{other_user_id}}
// Auth: Bearer {{auth_token}}

// Test script:
pm.test("BOLA: Cannot access other user profile", function() {
    pm.expect(pm.response.code).to.be.oneOf([401, 403]);
});

pm.test("BOLA: No user data leaked on denial", function() {
    if (pm.response.code === 200) {
        const body = pm.response.json();
        pm.expect(body).to.not.have.property("email");
        pm.expect(body).to.not.have.property("phone");
        pm.expect(body).to.not.have.property("address");
        // Flag as BOLA if full profile returned
        console.error("BOLA VULNERABILITY: Full profile returned for other user");
    }
});

// Test: Access other user's order
// Request: GET {{base_url}}/orders/{{other_user_order_id}}
pm.test("BOLA: Cannot access other user order", function() {
    pm.expect(pm.response.code).to.be.oneOf([401, 403, 404]);
});

// Test: Modify other user's resource
// Request: PATCH {{base_url}}/users/{{other_user_id}}
// Body: {"name": "Hacked"}
pm.test("BOLA: Cannot modify other user profile", function() {
    pm.expect(pm.response.code).to.be.oneOf([401, 403]);
});

Passo 3: Coleção de Testes de Autenticação (API2)

// Teste: Validação de token
// Requisição: GET {{base_url}}/users/me
// Autenticação: Bearer invalid_token_value

pm.test("Auth: Token inválido rejeitado", function() {
    pm.expect(pm.response.code).to.be.oneOf([401, 403]);
});

// Teste: Tratamento de token expirado
// Requisição: GET {{base_url}}/users/me
// Autenticação: Bearer {{expired_token}}

pm.test("Auth: Token expirado rejeitado", function() {
    pm.expect(pm.response.code).to.equal(401);
});

// Teste: Falta de autenticação
// Requisição: GET {{base_url}}/users/me
// Autenticação: Nenhuma


…