Quello che le tue API raccontano di sé a chi sta fuori, prima che lo scopra un cliente o un estraneo
Chi si integra con le tue API non vede il tuo codice: vede solo risposte. L'audit delle API di CODEPRESS si mette in quella posizione, fuori dal confine, e in due settimane per 1.500-3.000 euro fissi consegna l'inventario di ciò che l'interfaccia rivela o rompe: contratto incoerente, autenticazione aggirabile, campi in eccesso, lentezze sotto traffico vero, documentazione scaduta. Accanto a ogni voce, la correzione e i giorni che chiede.
1.500 - 3.000 €2 settimane · prezzo fisso
A cosa serve un audit delle API
Un'API che funziona per il tuo frontend non è la stessa cosa di un'API pronta per essere usata da qualcun altro. Chi si integra trova un contratto che cambia da un endpoint all'altro, campi che spariscono senza preavviso, versioni vecchie ancora raggiungibili perché nessuno le ha mai spente davvero. Chi la consuma se ne accorge prima di chi l'ha scritta, e quasi sempre in produzione.
Lo stesso confine che permette l'integrazione è quello che un estraneo prova a forzare: un token che non scade mai, un endpoint che restituisce più campi di quanto il chiamante dovrebbe vedere, un limite di frequenza che non esiste. L'audit legge le API con entrambi gli sguardi insieme, quello di chi deve costruirci sopra e quello di chi cerca una falla, e mette per iscritto cosa trova.
Cosa comprende un audit delle API
Contratto e versionamento
Confrontiamo lo schema dichiarato con le risposte reali, endpoint per endpoint, e verifichiamo che una nuova versione non rompa client che dipendono ancora dalla vecchia.
Autenticazione e dati esposti
Controlliamo come si autentica chi chiama, cosa può vedere una volta dentro, e se qualche risposta restituisce campi che il chiamante non dovrebbe ricevere.
Prestazioni sul traffico reale
Paginazione, query che si moltiplicano a cascata, timeout troppo larghi o assenti: misuriamo cosa succede quando il traffico non è quello ideale del test.
Documentazione
Confrontiamo quello che la documentazione promette con quello che l'API fa davvero, e segnaliamo ogni punto in cui le due cose si sono allontanate.
Come funziona un audit delle API
Accesso e contesto
Ci basta un accesso alle API in un ambiente di test o di staging, la loro documentazione se esiste, e mezz'ora per capire chi le chiama e perché.
Analisi
Chiamiamo ogni endpoint con dati validi e non validi, confrontiamo le risposte con il contratto dichiarato e proviamo le combinazioni che un client onesto non proverebbe mai.
Verifica dei rilievi
Ogni anomalia trovata viene riprodotta prima di finire nel report: un rilievo che non si riproduce non aiuta il tuo team a decidere cosa fare.
Restituzione dei rilievi
Il report arriva scritto, poi lo percorriamo in una chiamata endpoint per endpoint, insieme a chi le API le mantiene e a chi ci si integra: alla fine la lista dei rilievi è diventata una lista di decisioni.
Cosa ricevi da un audit delle API
- Ogni rilievo con l'endpoint, il metodo e la chiamata esatta che lo fa emergere, in ordine di gravità
- La mappa del contratto reale confrontato con quello dichiarato o documentato
- Per ogni rilievo la correzione che consigliamo e quanti giorni chiede a chi la esegue
- I punti in cui autenticazione o autorizzazione espongono più di quanto dovrebbero
- Le prestazioni misurate sotto traffico realistico, non solo sotto il caso ideale
- Un'ora di chiamata in cui guidiamo il tuo team fra i rilievi del report
Quando un audit delle API non fa per te
- Le API sono ancora sulla lavagna: finché non risponde una chiamata vera non c'è nulla da leggere dall'esterno, e conviene partire da una PoC o dallo sviluppo della funzionalità.
- Ti serve un attestato di penetration test da girare a un cliente o a un revisore: noi leggiamo il confine, non lo sfondiamo, e il documento non finge il contrario.
- Non c'è ancora traffico reale sull'API: qualunque rilievo sulle prestazioni sarebbe una previsione, non una misura, e l'audit non la spaccia per tale.
Quanto costa un audit delle API, e perché
Dentro la forbice 1.500-3.000 euro a decidere è la superficie: quanti endpoint sono raggiungibili, quanti servizi diversi concorrono a formare il contratto, se una documentazione da cui partire esiste già. Ogni endpoint in più sono chiamate in più da fare, confrontare e riprodurre, ed è solo questo a muovere il numero.
La cifra si fissa dopo il primo giro sulle API e da lì resta ferma fino alla consegna. Se emergono endpoint che nessuno aveva contato, ci fermiamo e ne parliamo prima di proseguire: non lo scopri in fattura.
Domande frequenti sull'audit delle API
- Quanto costa un audit delle API?
- 1.500-3.000 euro, fissati prima di cominciare e non ritoccati dopo. Dove cadi dentro quella forbice lo decide la superficie esposta: il numero di endpoint raggiungibili e quanti servizi diversi concorrono al contratto. Se durante il lavoro il perimetro cresce, te lo diciamo subito e decidiamo insieme, ma il prezzo concordato non si muove da solo.
- Che differenza c'è fra audit delle API e penetration test?
- Guardiamo l'API dallo stesso lato da cui la guarderebbe un cliente che si integra, o un estraneo che ci prova: dal confine esterno, senza toccare il codice sorgente. È più vicino a un penetration test come punto di vista, ma il metodo resta diverso: leggiamo il contratto, l'autenticazione e le risposte, non tentiamo di sfruttare una falla né costruiamo una catena d'attacco. Se serve anche quello, è un servizio a parte.
- Serve che le API siano documentate?
- No. Aiuta, perché confrontiamo quello che la documentazione promette con quello che l'API fa davvero, e ogni scostamento diventa un rilievo. Ma l'audit funziona anche senza: in quel caso il contratto lo ricostruiamo osservando le risposte reali, endpoint per endpoint, prima di iniziare la verifica.
- Analizzate anche le prestazioni o solo la sicurezza?
- Entrambe. Guardiamo paginazione, query a cascata e timeout sul traffico reale insieme ad autenticazione e dati esposti: sono facce dello stesso contratto, e separarle avrebbe senso solo su un'API che già conosci a fondo, non su una che stai per esporre a terzi per la prima volta.
- Cosa succede se trovate una vulnerabilità grave?
- Te lo segnaliamo subito, non alla consegna del report finale: una falla che espone dati o permette di aggirare l'autenticazione non aspetta due settimane. Preferiamo un'email fuori programma il giorno stesso a un rilievo tardivo, così il tuo team può intervenire prima che l'audit sia finito.