API Scanner - Implantação Auto-Hospedada

API Scanner é uma ferramenta automatizada de teste de segurança de APIs que verifica APIs REST e SOAP em busca de vulnerabilidades usando especificações OpenAPI/Swagger e arquivos WSDL.

Pré-requisitos

• Docker Engine 20.10+
• Docker Compose v2
• Python 3.6+ (para script de configuração)
• Mínimo de 8 GB de RAM (16 GB recomendado)
• 20 GB de espaço em disco

Início Rápido

1. Clone este repositório

git clone https://github.com/CSPF-Founder/api-scanner-docker.git
cd api-scanner-docker

2. Execute a configuração

python3 setup.py

O script irá:

• Gerar senhas aleatórias seguras para todos os serviços
• Detectar automaticamente seu fuso horário
• Gerar um certificado TLS autoassinado (ou usar o seu próprio se já estiver em ./certs/)
• Escrever o arquivo de configuração .env
• Oferecer para iniciar o stack Docker Compose

3. Acesse o painel

Abra https://localhost:4455 no seu navegador.

Se estiver usando um certificado autoassinado, seu navegador mostrará um aviso de segurança - prossiga para aceitá-lo.

Configuração Manual

Se preferir configurar manualmente em vez de usar o script de configuração:

1. Copie o arquivo de ambiente de exemplo:

cp .env.example .env

2. Edite .env e atualize:

   • Todas as senhas change_me_* com valores aleatórios fortes
   • CSRF_KEY com uma string aleatória de 32+ caracteres
   • ZAP_API_KEY com uma string aleatória
   • TRUSTED_ORIGINS com seu domínio (ex.: https://scanner.yourcompany.com)
   • Certifique-se de que as senhas em DATABASE_URI e MONGO_DATABASE_URI correspondam às variáveis de senha individuais

3. Inicie o stack:

docker compose up -d

Arquitetura

Configuração

Toda a configuração é feita através do arquivo .env. Veja o .env.example para todas as opções disponíveis.

Configurações Principais

Persistência de Dados

Todos os dados são armazenados em volumes nomeados do Docker:

• mariadb_data - Contas de usuário, papéis, sessões
• mongodb_data - Registros de varredura, resultados, relatórios
• scanner_data - Arquivos de trabalho, especificações enviadas, relatórios gerados

Atualizando

docker compose pull
docker compose up -d

Parando

docker compose down

Para remover todos os dados (destrutivo):

docker compose down -v

Solução de Problemas

Verifique os logs:

docker compose logs api-scanner
docker compose logs zap

Verifique a saúde do serviço:

docker compose ps

ZAP não está iniciando: Certifique-se de ter pelo menos 4 GB de RAM livre. O ZAP requer ~3 GB.

Painel não acessível: Verifique se os certificados TLS estão em ./certs/ e se TRUSTED_ORIGINS corresponde à sua URL incluindo a porta (ex.: https://localhost:4455).

Erros de conexão com o banco de dados: Aguarde 30-60 segundos após a primeira inicialização para que os bancos de dados sejam inicializados.

Documentação

Manual completo do usuário: https://cspf-founder.github.io/api-scanner-docker/