احجز استشارة
EN احجز استشارة
خدماتنا · اختبار اختراق واجهات API

اختبار اختراق واجهات API في السعودية

نختبر يدويًا واجهات API التي تعتمد عليها تطبيقاتك وشركاؤك، سواء أكانت REST أم GraphQL، كما يفعل المهاجم الحقيقي. ونتحقق من كل ثغرة نعتمدها ونعيد إنتاجها خطوة بخطوة قبل تسليمها.

احجز استشارة ماذا نختبر
  • لا تدفع إلا عند تأكيد ثغرة حرجة أو عالية
  • اختبار يدوي على أيدي مختبرين سعوديين ضمن أفضل ١٠ في bugbounty.sa
  • إعادة اختبار مجانية حتى تُغلق الثغرة فعليًا
٠١ — لماذا يهمّك

لماذا تحتاج واجهات API إلى اختبار اختراق

واجهات API هي الطريق المباشر إلى بياناتك ووظائف أنظمتك، وعليها تعتمد تطبيقات الويب والجوال والتكاملات مع الشركاء. وثغرة واحدة في التحقق من الصلاحيات قد تكشف بيانات جميع عملائك دون أن تظهر في واجهة المستخدم أصلًا.

البيانات خلف كل طلب

كل طلب إلى الواجهة يحمل معرّفًا أو رمز دخول، وأي خلل في التحقق منهما قد يسمح بقراءة بيانات مستخدم آخر أو تعديلها.

تتوسع أسرع من توثيقها

تُضاف نقاط نهاية وإصدارات جديدة باستمرار، وتبقى أحيانًا إصدارات قديمة أو غير موثقة مكشوفة على الإنترنت دون أن ينتبه لها أحد.

المتطلبات التنظيمية

نوثّق تقرير اختبار الاختراق بما يتوافق مع الضوابط الأساسية للأمن السيبراني NCA ECC وإطار الأمن السيبراني للبنك المركزي السعودي SAMA CSF، ليساعدك على إثبات استيفاء متطلبات اختبار الاختراق.

ما لا تكتشفه الأدوات

أخطاء التفويض بين المستخدمين والأدوار، وثغرات منطق الأعمال في تسلسل الطلبات، لا يلتقطها الفحص الآلي، ويكتشفها مختبر بشري يفهم طريقة استخدام واجهتك.

٠٢ — النطاق

ماذا يشمل اختبار اختراق واجهات API

نغطّي فئات OWASP API Security Top 10 وما يتجاوزها، بفحوص على كل نقطة نهاية وكل دور، في واجهات REST وGraphQL، بما فيها الواجهات الخلفية لتطبيقات الجوال وواجهات الشركاء.

٠١

التفويض على مستوى الكائن (BOLA / IDOR)

نتحقق من أن كل طلب يعيد بيانات صاحبه فقط، فنختبر هل يمكن الوصول إلى طلبات أو فواتير أو ملفات مستخدم آخر بتغيير المعرّف في المسار أو المعاملات أو جسم الطلب.

٠٢

المصادقة والرموز

نفحص إصدار رموز JWT والتحقق من توقيعها وصلاحيتها، وتدفقات OAuth، ومفاتيح API وطريقة حمايتها، ونبحث عن رموز تبقى صالحة بعد تسجيل الخروج أو تغيير كلمة المرور، أو يمكن استخدامها في غير ما صدرت له.

٠٣

التفويض على مستوى الوظيفة (BFLA)

نختبر هل يستطيع مستخدم عادي استدعاء نقاط نهاية إدارية أو وظائف مخصصة لدور أعلى، مثل حذف المستخدمين أو تعديل الإعدادات أو تصدير البيانات.

٠٤

الإسناد الجماعي وكشف البيانات الزائدة

نتحقق من أن الواجهة لا تقبل تعديل حقول محمية تُرسَل في الطلب، مثل الدور أو الرصيد أو حالة الحساب (mass assignment)، ولا تعيد في الردود حقولًا حساسة لا يحتاجها التطبيق المستدعي.

٠٥

حدود الاستخدام واستهلاك الموارد

نراجع حدود معدل الطلبات وأحجامها وعدد العناصر في كل صفحة، بحثًا عن مسارات تسمح بتخمين الرموز أو كلمات المرور أو باستهلاك موارد الخادم دون حد، مع الالتزام بالحدود المتفق عليها في قواعد الاختبار.

٠٦

الحقن وSSRF

نفحص المعاملات التي تصل إلى قاعدة البيانات أو الأنظمة الخلفية بحثًا عن ثغرات الحقن، وكذلك البيانات التي تستقبلها الواجهة من واجهات خارجية تعتمد عليها، ونختبر الحقول التي تقبل روابط، مثل webhooks واستيراد الملفات، للتأكد من أن الخادم لا يمكن دفعه إلى طلب موارد داخلية (SSRF).

٠٧

الإعدادات الأمنية وكشف المعلومات

نراجع إعدادات CORS، وطرق HTTP المسموح بها، ورسائل الخطأ التي تكشف تفاصيل البنية التقنية، وترويسات الأمان (security headers)، وصفحات التوثيق أو التصحيح المكشوفة دون قصد.

٠٨

اختبارات خاصة بـ GraphQL

نختبر كشف المخطط عبر introspection، والتفويض على مستوى كل حقل وكل عملية (query وmutation)، والاستعلامات المتداخلة العميقة وتجميع الطلبات (batching) التي قد تتجاوز حدود الاستخدام.

٠٩

جرد الواجهات وإصداراتها

نبحث ضمن النطاق المتفق عليه عن إصدارات قديمة أو نقاط نهاية غير موثقة أو بيئات اختبار ما زالت تعمل، فهي غالبًا أضعف حماية من الإصدار الحالي.

١٠

منطق الأعمال في تسلسل الطلبات

نختبر تسلسل العمليات في الواجهة، مثل الشراء والتحويل والاسترداد، بحثًا عن تخطي خطوات إلزامية أو تكرار العمليات أو حالات التسابق (race conditions) عند إرسال طلبات متزامنة.

٠٣ — منهجيتنا

كيف نجري اختبار اختراق واجهات API

ريلاينت منصة سعودية لاختبار الاختراق كخدمة (PTaaS)، مقرها الرياض ومرخّصة من الهيئة الوطنية للأمن السيبراني. يبدأ الباحث بفهم واجهتك: نقاط النهاية، والأدوار، والبيانات التي يملكها كل مستخدم. ثم يختبرها يدويًا بعقلية المهاجم الحقيقي، مسترشدًا بـ OWASP API Security Top 10 وOWASP Top 10 وPTES، ويربط الثغرات الصغيرة في سلاسل استغلال تُظهر أثرها الفعلي على أعمالك. ونوثّق التقرير بما يتوافق مع NCA ECC وSAMA CSF، وكل ثغرة نراجعها ونتحقق منها ونعيد إنتاجها قبل التسليم.

OWASP API Security Top 10OWASP Top 10PTESNCA ECCSAMA CSF
٠٤ — آلية العمل

خطوات اختبار اختراق واجهات API من أول تواصل إلى إعادة الاختبار

  1. ٠١

    شاركنا متطلباتك

    شاركنا متطلباتك أو احجز استشارة مدتها ٣٠ دقيقة مع مختبر اختراق رئيسي، لتحديد الواجهات المستهدفة وإصداراتها وأدوار المستخدمين فيها.

  2. ٠٢

    إنشاء البرنامج

    تُنشئ شركتك برنامجًا على المنصة يحدّد الأصول داخل النطاق وخارجه، وقواعد الاختبار (نوافذ الاختبار، والتقنيات الممنوعة مثل هجمات حجب الخدمة DoS، وحدود معدل الطلبات، وقنوات التصعيد)، وميزانية مقترحة.

  3. ٠٣

    المراجعة وتجهيز الوصول

    تراجع ريلاينت النطاق وتتفق معك على الميزانية، وتجهّز لنا توثيق الواجهة إن وُجد والحسابات التجريبية لكل دور. ويعمل البرنامج وفق اتفاقية الاختبار القياسية لدى ريلاينت أو وفق عقدك الخاص بعد قبولنا له، ويُوقَّع اتفاق عدم إفصاح NDA قبل بدء أي اختبار.

  4. ٠٤

    الاختبار والفرز

    يبدأ الباحثون المعيّنون الاختبار، وتفرز ريلاينت كل بلاغ. وأي ثغرة حرجة أو عالية معتمدة يمكن إرسالها إليك فورًا قبل التقرير.

  5. ٠٥

    التقرير والنقاش

    نسلّم التقرير بكل ثغرة معتمدة، وتناقش كل ثغرة معنا عبر التعليقات، وقد نطلب رأيكم في بعضها عبر مراجعة الشركة.

  6. ٠٦

    إعادة الاختبار المجانية

    بعد الإصلاح تطلب إعادة اختبار مجانية ما دام البرنامج في مرحلة التقرير أو إعادة الاختبار، وتصلك النتيجة فور انتهاء التحقق.

٠٥ — المخرجات

ماذا تستلم من اختبار اختراق واجهات API

  • مرجع ثابت لكل ثغرة بصيغة RLT-000123
  • درجة CVSS لكل ثغرة
  • وصف واضح للثغرة وأثرها على أعمالك
  • خطوات إعادة الإنتاج (Proof of Concept) مع الطلبات والردود الداعمة
  • إرشادات معالجة عملية لكل ثغرة
  • جميع النتائج في لوحة تحكم العميل، وتقرير PDF قابل للتدقيق من مرحلة التقرير أو عند الطلب
  • إعادة اختبار مجانية حتى تُغلق الثغرة فعليًا
٠٦ — التسعير

لا رسوم دون ثغرة حرجة أو عالية

لا تدفع إلا إذا أكّدت ريلاينت ثغرة واحدة على الأقل بدرجة حرجة أو عالية، وعندها تكون الرسوم هي ميزانية البرنامج المتفق عليها: مبلغ واحد للاختبار كاملًا، وتصدر الفاتورة تلقائيًا مع التقرير. تُحدَّد الميزانية حسب حجم النطاق (عدد الواجهات ونقاط النهاية) وعمق الاختبار والإطار الزمني، ولا يوجد حد أدنى للاختبار، فواجهة واحدة بنطاق صغير تُسعَّر بالطريقة نفسها.

  • لا ثغرة حرجة أو عالية مؤكّدة؟ الفاتورة صفر، ويُسلَّم الاختبار وتقريره مجانًا.
  • عند التأكيد: مبلغ واحد هو الميزانية المتفق عليها، بلا رسوم لكل ثغرة ولا رسوم خفية.
  • البلاغات المكررة أو غير الصحيحة أو خارج النطاق لا تُحتسب أبدًا.
٠٧ — الأسئلة الشائعة

أسئلة شائعة عن اختبار اختراق واجهات API

ماذا تحتاجون منا لبدء اختبار اختراق واجهات API؟
نطلب رابط البيئة المتفق عليها، وتوثيق الواجهة إن وُجد (OpenAPI أو Swagger أو مجموعة Postman أو مخطط GraphQL)، وحسابات تجريبية لكل دور، ويُفضَّل حسابان على الأقل لكل دور لاختبار وصول المستخدمين إلى بيانات بعضهم. وإن كانت الواجهة تعتمد على مفاتيح API أو OAuth، فنحتاج بيانات اعتماد مخصصة للاختبار.
هل تختبرون واجهات GraphQL؟
نعم. نختبر واجهات GraphQL كما نختبر واجهات REST، ونضيف فحوصًا خاصة بها: كشف المخطط عبر introspection، والتفويض على مستوى كل حقل وكل عملية، والاستعلامات المتداخلة العميقة وتجميع الطلبات (batching) التي قد تتجاوز حدود الاستخدام.
هل يمكن اختبار واجهة API بلا توثيق؟
نعم. نستكشف نقاط النهاية من التطبيقات التي تستخدم الواجهة ومن مراقبة طلباتها أثناء الاستخدام، ضمن النطاق المتفق عليه. لكن التوثيق والحسابات التجريبية يجعلان الاختبار أعمق وأسرع، لأن الباحث يصل إلى كل نقطة نهاية وكل دور مباشرة.
هل يؤثر الاختبار على واجهات الإنتاج؟
نتفق مسبقًا ضمن قواعد الاختبار على البيئة ونوافذ الاختبار وحدود معدل الطلبات وقنوات التصعيد الفوري، ولا نجري هجمات حجب الخدمة. وبيئة تجهيز مطابقة للإنتاج هي الخيار الأفضل متى توفرت، وإن كان الاختبار على الإنتاج فنختبر كما يفعل المهاجم الحقيقي دون تعطيل خدماتك.
كم يستغرق اختبار اختراق واجهات API؟
يعتمد ذلك على عدد الواجهات ونقاط النهاية والأدوار وعمق الاختبار. تكتمل معظم الاختبارات خلال ٥ إلى ١٠ أيام عمل، ونتفق على الإطار الزمني عند تحديد النطاق.
كيف يُسعَّر اختبار اختراق واجهات API؟
تُحدَّد الميزانية حسب حجم النطاق وعمق الاختبار والإطار الزمني، ولا تدفعها إلا إذا أكّدنا ثغرة حرجة أو عالية واحدة على الأقل. وعندها تدفع مبلغًا واحدًا هو الميزانية المتفق عليها، بلا رسوم لكل ثغرة، وإلا فالفاتورة صفر ويُسلَّم الاختبار وتقريره مجانًا.
هل تختبرون الواجهات الخلفية لتطبيق الجوال؟
نعم، فواجهات API التي يستخدمها تطبيق الجوال جزء من هذه الخدمة متى كانت ضمن النطاق. وإن أردت اختبار التطبيق نفسه على الجهاز أيضًا، فاختبار اختراق تطبيقات الجوال يشمل التطبيق وواجهاته الخلفية معًا.
كل الأسئلة الشائعة

اختبر واجهاتك قبل أن يكتشف المهاجم ثغراتها

شاركنا متطلباتك أو احجز استشارة مدتها ٣٠ دقيقة مع مختبر اختراق رئيسي.

أو راسلنا مباشرة: info@reliant.sa تم إرسال طلبك بنجاح — سنتواصل معك قريبًا.