Competências avaliadas

• O que é uma API — REST, GraphQL, gRPC e a diferença entre eles
• Verbos HTTP, status codes e o que cada resposta significa
• Superfície de ataque de APIs — onde os riscos começam
• Endpoints desnecessários — o que não expor e por quê
• Dados sensíveis em resposta — stacks internas, versões e informações de debug
• OWASP API Security Top 10 — as 10 categorias de risco e seus exemplos
• Autenticação — quem está chamando a API e como provar isso
• Autorização — o que o usuário pode acessar, não apenas se está logado
• Autenticação ≠ autorização — a distinção que mais causa vulnerabilidades
• BOLA (Broken Object Level Authorization) — o usuário acessa objetos de outros usuários trocando IDs
• BFLA (Broken Function Level Authorization) — o usuário acessa funções além do seu nível de permissão
• API keys e JWT — como funcionam e o que pode dar errado em cada um
• OAuth 2.0 — o fluxo básico e o papel de cada componente
• Injeção via API — SQL, NoSQL e Command injection reconhecidos por comportamento
• Mass Assignment — aceitar campos que não deveriam ser aceitos
• SSRF — quando a API faz requisições para onde não deveria
• Exposição excessiva de dados — retornar mais do que o necessário é vulnerabilidade
• Response filtering — por que o servidor filtra, não o cliente
• Rate limiting e abuso de API — o que acontece sem controle de frequência
• APIs de LLM — mesma superfície de ataque com risco adicional de prompt injection
• Prompt injection via parâmetros de API — como funciona e o que protege
• IA auxiliando testes de API — resultado útil, validação humana obrigatória
• LGPD e APIs — APIs como ponto de coleta e transferência de dados pessoais
• Open Finance e PCI DSS — o que essas regulações exigem de APIs
• O que deve estar certo antes de qualquer API ir para produção