Este artigo faz parte do guia completo de pentest de aplicações.
O que muda no pentest web
Na web, o foco está em sessão, controle de acesso, entrada de dados e lógica da aplicação. Falhas comuns incluem IDOR, cross-site scripting, falhas de autorização e problemas em fluxos de login e recuperação de senha.
O que muda no pentest mobile
No mobile, além do que é comum ao backend, entram o armazenamento local (dados sensíveis no dispositivo), a comunicação com o servidor (validação de certificado, pinning) e a proteção do próprio binário (ofuscação, engenharia reversa).
Muitos apps que parecem seguros na interface falham por confiar no cliente — tratando o app como se fosse confiável apenas por ser um binário distribuído por loja.
A API é o ponto comum (e o mais crítico)
Web e mobile normalmente conversam com a mesma API, e é nela que a maior parte dos vazamentos acontece hoje. Falhas de autorização por objeto (BOLA) e por função (BFLA) expõem dados de um usuário para outro sem disparar alarme.
Por isso, tratar a API como parte central do escopo é o caminho mais eficiente — independentemente de o app ser web ou mobile.
Perguntas frequentes
Preciso testar web e mobile separadamente?
Depende do produto. Quando os dois usam a mesma API, boa parte do risco se concentra nela; a interface ainda merece atenção pelos riscos específicos de cada plataforma.