Безопасность API магазина и кабинета: тихая зона риска

Современный магазин - это не набор HTML-страниц. Приложение, виджеты, доставка и оплата ходят в API. Именно там живёт ошибка, которую не видно на витрине: пользователь авторизован, но объект ему не принадлежит. Смена идентификатора в запросе открывает чужие данные. Страница при этом рисуется как обычно.

Что проверить кроме «сайт открывается»

• Чужой заказ, чужой адрес, чужой файл по подмене id. Это первая проба.
• Методы, которые должны быть только у сотрудника, но отвечают клиентскому токену.
• Лимиты на вход и на чувствительные действия. Без них перебор дешёвый.
• Валидация тела запроса. Лишние поля, которые API молча принимает, потом всплывают в логике скидки или статуса.

Сканер главной страницы это обычно пропускает. Нужна проверка прав и сценариев, то есть пентест приложения и API, а не скриншот витрины. Лимиты, отделение публичных методов от служебных и наблюдение за аномалиями - гигиена, даже если магазин небольшой.

Если кабинет или магазин делаем мы, проверки API стоят в разработке и в предрелизном пентесте, а не «когда-нибудь после». Уже готовый контур тоже можно разобрать в согласованных границах.