Muchas de las brechas modernas no empiezan en un servidor mal parcheado, sino en una API mal protegida: endpoints ocultos, parámetros no documentados, errores de autenticación, JWT mal validados o datos que se exponen de más. Por eso, dominar unas cuantas herramientas de seguridad API es hoy imprescindible para cualquier persona que se dedique al pentesting, al AppSec o al bug bounty.
En este artículo repasamos 7 herramientas gratuitas para auditar la seguridad de APIs, qué hace cada una y cuándo conviene usarla. No van de «lanzar una URL y ya está»: van de entender superficie de ataque, autenticación, autorización, datos expuestos y comportamiento real.
Por qué la seguridad de APIs es hoy crítica
Las aplicaciones actuales son, en esencia, un conjunto de APIs hablando entre sí. Esa superficie crece más rápido que la documentación, y ahí aparecen los problemas clásicos del OWASP API Security Top 10: autorización rota a nivel de objeto (BOLA), autenticación débil, exposición excesiva de datos o endpoints «shadow» que nadie recuerda haber publicado. Auditar una API consiste en mapear todo eso antes de que lo haga un atacante.
Las 7 herramientas para auditar APIs
1. kiterunner
Descubre rutas y endpoints de API usando wordlists orientadas a métodos y patrones reales de API (no a directorios web clásicos). Es el punto de partida para encontrar lo que no está documentado.
2. Arjun
Encuentra parámetros ocultos o no documentados en un endpoint. Muchos fallos de autorización y de inyección viven precisamente en parámetros que el desarrollador olvidó proteger.
3. schemathesis
Genera pruebas automáticamente a partir de esquemas OpenAPI o GraphQL. Si tienes la especificación, schemathesis la usa para lanzar casos de prueba y detectar respuestas inesperadas o errores del servidor.
4. jwt_tool
Analiza, manipula y prueba la validación de tokens JWT: algoritmos débiles, firmas mal comprobadas, claims manipulables… Un básico cuando la API se apoya en JWT para autenticar.
5. Postman
Además de ser el cliente de APIs más usado, permite probar peticiones y revisar definiciones frente a riesgos comunes, automatizar colecciones y validar flujos de autenticación y autorización de forma ordenada.
6. InQL
Especializada en GraphQL: ayuda a mapear el esquema mediante introspection y a entender qué consultas y mutaciones expone realmente la API, un terreno donde es fácil filtrar de más.
7. APIClarity
Observa el tráfico real para reconstruir las especificaciones y detectar endpoints «shadow», versiones olvidadas o cambios no documentados. Perfecta para descubrir la API que de verdad está en producción, no la que dice el papel.
La seguridad API no va solo de «probar una URL»
Con estas herramientas cubres las fases clave: descubrimiento (kiterunner, Arjun), pruebas guiadas por esquema (schemathesis, InQL), autenticación (jwt_tool), validación funcional (Postman) y visibilidad del tráfico real (APIClarity). La clave es combinarlas con criterio y entender el contexto de negocio de cada endpoint.
Preguntas frecuentes
¿Necesito saber programar para auditar APIs?
Ayuda mucho, pero puedes empezar sin ser un experto. Entender HTTP, JSON y cómo funcionan la autenticación y la autorización te lleva muy lejos; el resto se aprende practicando.
¿Son legales estas herramientas?
Sí, son herramientas de auditoría. Otra cosa es dónde las usas: solo debes probar APIs propias o para las que tengas autorización expresa (un contrato de pentest o un programa de bug bounty con alcance definido).
¿Por dónde empiezo si es mi primera auditoría de API?
Empieza mapeando la superficie (kiterunner y Arjun), revisa la autenticación (jwt_tool) y apóyate en la especificación si existe (schemathesis / InQL). Documenta todo lo que encuentres.
¿Quieres aprender hacking ético, pentesting y AppSec de verdad, con laboratorios y casos reales? En la Academia de SeguridadSi tienes recursos gratuitos y cursos completos para formarte en ciberseguridad profesional. Descubre todos los cursos aquí.
¿Y tú, qué herramienta usas para probar APIs?
