As APIs deixaram de ser um detalhe técnico para se tornarem o principal alvo de ataque em 2026. Segundo uma análise da Zerq publicada este ano, 106 das 245 vulnerabilidades novas que a CISA acrescentou ao catálogo Known Exploited Vulnerabilities (KEV) em 2025 tinham origem em APIs. Isso é 43% de tudo o que foi confirmado como explorado ativamente naquele ano. Quem gere segurança numa empresa portuguesa já sentiu esta pressão: os gateways e firewalls tradicionais não travam um ataque de Broken Object Level Authorization, porque essa falha não tem assinatura para detetar.
Este artigo compara três das plataformas mais discutidas na área de segurança de APIs em 2026: Salt Security, Akamai API Security (antiga Noname) e Traceable, agora integrada na Harness. Também olhamos para três alternativas relevantes, Wallarm, Cequence e 42Crunch, porque nenhuma escolha de ferramenta faz sentido isolada do resto do mercado. Vamos usar dados de fontes verificáveis, com preços, taxas de deteção e casos reais, para que a decisão não dependa de folhetos de marketing.
Vale explicar já porque estes três nomes, e não outros, formam o núcleo da comparação. Os três representam as três direções em que o mercado de segurança de API está a consolidar-se ao mesmo tempo: uma continua independente, outra foi absorvida por um gigante de infraestrutura de edge, e a terceira fundiu-se com uma plataforma de DevSecOps. Entender essas três direções ajuda mais um comprador do que qualquer tabela de funcionalidades isolada, porque a trajetória de cada fornecedor determina para onde o produto vai evoluir nos próximos anos, não só o que oferece hoje.
O que é segurança de API e porque o WAF já não chega
Uma firewall de aplicações web (WAF) inspeciona pedidos à procura de padrões conhecidos: injeções de SQL, scripts maliciosos, assinaturas de ataque já catalogadas. Isso funciona bem contra ameaças genéricas, mas falha perante o problema central das APIs modernas: a lógica de negócio. Quando um atacante troca o número de um pedido numa URL e passa a aceder à fatura de outro cliente, não há assinatura nenhuma a violar. O pedido é sintaticamente perfeito. Só o contexto, quem está a pedir o quê e se tem permissão para isso, revela o abuso.
É esse o motivo pelo qual o Broken Object Level Authorization (BOLA) ocupa o primeiro lugar da OWASP API Security Top 10 desde 2019 e continua lá na edição de 2023. Analistas do setor estimam que a BOLA representa cerca de 40% de todos os ataques reais contra APIs, e que as APIs já correspondem a mais de 70% do tráfego de internet atual, segundo dados citados pela Cybersecurity Essential. Se já leu o nosso guia sobre OWASP Top 10:2025 vs 2021, sabe que a lista de riscos web tradicional e a lista específica de APIs divergem cada vez mais, e é por isso que surgiu uma categoria de produtos dedicada só a isto.
Uma plataforma de segurança de API a sério precisa de fazer quatro coisas: descobrir todas as APIs que a organização expõe (incluindo as “shadow APIs” que ninguém documentou), avaliar a postura de cada uma contra o OWASP API Top 10, monitorizar o tráfego em produção à procura de comportamento anómalo, e testar as especificações antes de irem para produção. Nenhum fornecedor domina as quatro frentes com igual profundidade, e é aí que a escolha entre Salt, Akamai e Traceable deixa de ser trivial.
CISA KEV 2025: como as APIs passaram a liderar as explorações reais
Os números do catálogo KEV da CISA contam a história melhor do que qualquer argumento de vendas. Em 2025, a agência acrescentou 245 vulnerabilidades novas ao catálogo, um crescimento de 20% face ao ano anterior, levando o total acumulado a cerca de 1.480 entradas, segundo o levantamento da SecurityWeek. Dessas 245 novas entradas, 24 estavam diretamente associadas a campanhas de ransomware.
O detalhe que interessa a este artigo é a fatia que pertence a APIs: 106 das 245 entradas, ou seja, 43% de tudo o que foi confirmado como ativamente explorado em 2025 estava na camada de API, segundo a análise da Zerq. Isto não é um pico isolado. No terceiro trimestre de 2025, a CISA acrescentou 51 novas entradas ao KEV, e 8 delas (16%) eram vulnerabilidades de API, de acordo com o relatório trimestral da Wallarm Lab. Outra análise, publicada pela NHIMG e citando dados da Escape, situa as APIs em 17% de todas as vulnerabilidades publicadas globalmente em 2025, segundo o artigo em nhimg.org.
Juntando os três pontos: quase metade das novas explorações confirmadas em 2025 tocaram em APIs, o ritmo mantém-se trimestre a trimestre, e a proporção de vulnerabilidades de API no universo total de CVEs continua a subir. Para uma equipa de segurança que já lida com o registo de incidentes exigido pelo regime NIS2 em Portugal, isto significa que a superfície de ataque de API já não pode ficar fora do plano de resposta.
Salt Security: deteção comportamental sem tocar no tráfego
A Salt Security é, das três plataformas centrais deste artigo, a única que continua independente. Não foi comprada, não fundiu com uma plataforma de DevSecOps maior, e isso tornou-se parte do seu argumento comercial. A empresa constrói baselines de comportamento a partir do tráfego de API espelhado, fora de linha, sem adicionar latência, e sinaliza desvios: um endpoint que passa a ser chamado com frequência anormal, um utilizador que tenta aceder a objetos fora do seu perfil habitual, um padrão de reconhecimento lento que nenhuma assinatura apanharia.
Essa abordagem comportamental é reconhecida como a mais forte do mercado especificamente para BOLA e para a categoria irmã, Broken Object Property Level Authorization (BOPLA), segundo a comparação publicada pela Cybersecurity Essential. Como a BOLA lidera as explorações reais de API na esmagadora maioria das organizações, essa vantagem pesa na decisão de compra para equipas lideradas por segurança, não por conformidade.
Em 2026, a Salt lançou também uma capacidade dedicada a proteger agentes de IA, servidores Model Context Protocol (MCP) e endpoints de modelos de linguagem, uma área que praticamente nenhum concorrente cobre com a mesma maturidade. Isto importa porque agentes autónomos geram tráfego de API com padrões de autorização muito diferentes dos de um utilizador humano, e a maior parte das ferramentas de deteção comportamental ainda não foi treinada para essa realidade. A contrapartida é o preço: a Salt não é a opção mais barata, e o modelo de venda é tipicamente enterprise, com referências de mercado a apontar para valores próximos de 100 mil dólares por ano para cobertura até cerca de 100 milhões de chamadas de API por mês.
Akamai API Security (ex-Noname): consolidação a 450 milhões de dólares
A Akamai comprou a Noname Security em junho de 2024 por aproximadamente 450 milhões de dólares, o maior negócio alguma vez feito num fornecedor puro de segurança de API, segundo a Cybersecurity Essential. A Noname já era conhecida por descobrir “shadow APIs”, os endpoints que ninguém documentou nem inventariou, e essa capacidade passou a somar-se à infraestrutura de edge da Akamai: a Kona Web Application Firewall, o Bot Manager e o App & API Protector.
O resultado é uma proposta genuinamente diferenciada para quem já usa a Akamai: descoberta e postura de API a trabalhar ao lado da aplicação de regras na edge, com a inteligência de ameaças da Akamai a alimentar as duas camadas. Para organizações que gerem quotas, limitação de taxa e proteção contra abuso volumétrico, esta integração é difícil de replicar com uma ferramenta que só analisa tráfego espelhado. A plataforma soma ainda mais de 150 testes dinâmicos de segurança que correm diretamente em pipelines de CI/CD, de acordo com relatórios de comparação citados pela Uinat.
A desvantagem, dita sem rodeios, é que produtos em fase de integração carregam risco de integração. A tecnologia da Noname está a ser fundida com a plataforma da Akamai ao longo de vários ciclos de lançamento, e nem todas as capacidades têm a mesma maturidade ao mesmo tempo. Quem está a avaliar esta opção deve perguntar diretamente quais funcionalidades da Noname já foram totalmente absorvidas e quais ainda estão em transição. O preço segue o padrão do setor: baseado em cotação, ligado ao volume de tráfego, com contratos anuais que tipicamente arrancam na casa dos milhares de dólares por mês.
Traceable agora é Harness: rastreio distribuído dentro do DevSecOps
A Traceable seguiu um caminho diferente. Em março de 2025, fundiu-se com a Harness, uma plataforma de DevSecOps nativa em IA que já cobria CI/CD, feature flags e implantação de código. A tecnologia original da Traceable, baseada em rastreio distribuído, mapear cada chamada de API à identidade do utilizador e aos dados sensíveis que essa chamada toca, passou a funcionar como a camada de segurança de API dentro do stack mais amplo da Harness.
Essa profundidade de contexto continua a ser a mais forte do mercado para investigar falhas de autorização em ambientes de microsserviços, onde a pergunta “este utilizador tinha mesmo permissão para tocar neste objeto” exige juntar informação de vários saltos de serviço. Também torna a Traceable especialmente útil para SSRF (Server-Side Request Forgery), porque o rastreio mostra com clareza qual serviço fez qual chamada seguinte numa cadeia de ataque. Para equipas de engenharia que já correm a Harness em CI/CD, a integração é praticamente nativa.
O problema aparece para equipas de segurança que não usam Harness. A plataforma combinada carrega agora o peso de um stack inteiro de DevSecOps, e o módulo de segurança de API não costuma ser vendido isoladamente na maioria das conversas comerciais. Uma equipa que só quer uma ferramenta focada em API, sem avaliar todo o pipeline de entrega, vai achar este encaixe mais difícil. O preço, como nas restantes, é por cotação, sem tabela pública.
Outras alternativas a considerar
Nenhuma comparação de segurança de API fica completa sem olhar para além dos três nomes mais falados. Três ferramentas aparecem com regularidade em avaliações de 2026 por resolverem problemas ligeiramente diferentes, e cada uma delas atrai um perfil de comprador distinto. Se a Salt, a Akamai e a Traceable representam as três grandes correntes de consolidação do setor (independência, integração com edge, e fusão com DevSecOps), as três seguintes mostram que ainda há espaço para abordagens mais especializadas.
Wallarm: bloqueio inline para GraphQL e gRPC
A Wallarm posiciona-se como plataforma nativa em nuvem que junta descoberta, testes e proteção em tempo real, mas com uma diferença central face à Salt e à Traceable: fica inline, no caminho do pedido, e pode bloquear tráfego malicioso diretamente, sem depender de uma WAF externa. Cobre REST, GraphQL, gRPC e WebSockets, algo que muitas ferramentas mais antigas fazem mal. Isto encaixa bem com o tema que já explorámos em REST API vs GraphQL: segurança, onde mostrámos que os dois protocolos exigem controlos diferentes. A contrapartida de ficar inline é a latência acrescentada e a necessidade de planear capacidade com cuidado.
Cequence: defesa contra bots a 10 mil milhões de chamadas por dia
A Cequence especializa-se em defesa contra bots e abuso automatizado: preenchimento de credenciais, scraping em massa, aquisição de contas. Funciona como proxy inline e processa mais de 10 mil milhões de interações de API por dia em clientes de grande escala, segundo comparações do setor. É a escolha natural para negócios de comércio eletrónico ou serviços financeiros que sofrem ataques de fraude automatizada a volumes elevados.
42Crunch: a única com camada gratuita real
O 42Crunch segue uma lógica completamente diferente: em vez de observar tráfego em produção, audita a especificação OpenAPI/Swagger e aplica essa mesma especificação em runtime através de uma “micro firewall de API”, rejeitando qualquer pedido que viole o contrato definido. É a única ferramenta desta lista com uma camada gratuita genuína, cobrindo um utilizador com até 100 auditorias e 100 verificações de operações por mês. Os planos pagos arrancam por volta dos 15 dólares por utilizador ao mês, com um escalão de equipa a partir de cerca de 375 dólares para até 25 utilizadores e 500 endpoints. É a opção certa para equipas de engenharia que querem provar valor antes de comprar uma ferramenta de runtime, mas não substitui a deteção comportamental em produção.
Tabela comparativa: especificações técnicas
A tabela seguinte resume as diferenças estruturais entre as três plataformas centrais deste artigo, cruzando estatuto de mercado, modelo de implementação e cobertura funcional.
| Critério | Salt Security | Akamai API Security | Traceable (Harness) |
|---|---|---|---|
| Estatuto em 2026 | Independente, pure-play | Parte da Akamai desde jun. 2024 | Fundida com a Harness desde mar. 2025 |
| Aquisição/fusão | Nenhuma | Comprada por ~450 M$ | Fusão com plataforma DevSecOps |
| Modelo de implementação | Fora de linha (tráfego espelhado) | Edge Akamai + conectores fora de linha | Inline ou fora de linha, via agentes de rastreio |
| Ponto forte | Deteção comportamental de BOLA/BOPLA | Descoberta de shadow APIs + edge | Rastreio distribuído e contexto de dados |
| Descoberta de shadow APIs | Madura | Referência histórica do setor | Disponível, menos aprofundada |
| Cobertura OWASP API Top 10 | Mais forte em BOLA/BOPLA | Forte, via descoberta e testes | Forte em contexto de autorização |
| Testes em CI/CD | Via integrações | Módulo nativo (150+ testes) | Nativo (herdado da Harness) |
| Proteção de agentes de IA/MCP | Capacidade líder desde 2026 | Emergente | Emergente |
| Latência acrescentada | Nenhuma (fora de linha) | Baixa (edge) | Variável (depende do modo) |
| Bloqueio automático | Não nativo, delega à WAF/gateway | Sim, via edge | Sim, em modo inline |
| Melhor para | Equipas lideradas por segurança | Clientes já na edge da Akamai | Equipas de engenharia já em Harness |
| Modelo de preço | Cotação, por volume | Cotação, por contrato anual | Cotação, integrado no Harness |
Tabela de preços 2026
Quase todo o setor de segurança de API vende por cotação e por volume de tráfego, o que torna qualquer número público apenas uma referência, não um orçamento fechado. Ainda assim, os valores abaixo dão uma noção realista do que esperar antes de entrar numa negociação comercial.
| Plataforma | Modelo de preço | Referência de valor |
|---|---|---|
| Salt Security | Cotação, por volume de chamadas | ~100.000 $/ano para ~100 milhões de chamadas/mês |
| Akamai API Security | Cotação, contrato anual | Milhares de dólares por mês (início) |
| Traceable (Harness) | Cotação, integrado na Harness | Sem valor público |
| Wallarm | Cotação, com teste gratuito reportado | Sem valor público |
| Cequence | Cotação, por volume de tráfego | Orientado a grandes empresas |
| 42Crunch | Gratuito + planos pagos publicados | 0 $ (1 utilizador), a partir de 15 $/mês, equipa desde ~375 $/mês |
OWASP API Top 10: onde cada plataforma se destaca
As três plataformas centrais cobrem o OWASP API Top 10, mas a profundidade varia categoria a categoria. Na BOLA (API1), a Salt lidera graças à baselinagem comportamental, a Akamai é forte através de descoberta mais testes, e a Traceable é competitiva onde o parque de APIs é fortemente baseado em microsserviços. Na Autenticação Quebrada (API2), as três detetam falhas na fase de descoberta, mas a abordagem comportamental da Salt apanha melhor padrões de preenchimento de credenciais, enquanto a posição de edge da Akamai bloqueia melhor ataques de força bruta orientados a bots.
Na categoria de Consumo Irrestrito de Recursos (API4), é a Akamai que se destaca: limitação de taxa, proteção contra DDoS e imposição de quotas na edge superam qualquer plataforma que só observe tráfego fora de linha. Já no SSRF (API7), o rastreio distribuído da Traceable dá visibilidade rara sobre qual serviço fez qual chamada seguinte, o que ajuda a investigar cadeias de ataque em arquiteturas de microsserviços. Na Gestão Imprópria de Inventário (API9), a Akamai lidera por herança direta da força histórica da Noname em descobrir shadow APIs.
O padrão geral, ao longo de todo o Top 10, é que as três plataformas são genuinamente diferentes entre si, e não três versões do mesmo produto com nomes diferentes. Isso é boa notícia para quem compra: a decisão pode assentar em dados, não em preferência de marca.
5 exemplos reais de utilização por setor
- Banca e fintech com open banking: um banco que expõe APIs de pagamentos ao abrigo de regras de open banking beneficia da deteção comportamental da Salt Security para apanhar tentativas de BOLA contra contas de clientes, uma categoria de ataque que representa a maior fatia dos incidentes de API no setor financeiro.
- Comércio eletrónico de grande volume: uma loja online que sofre ataques de scraping de preços e aquisição de contas em Black Friday encaixa melhor com a Cequence, feita para bloquear inline a volumes de milhares de milhões de chamadas por dia.
- SaaS multi-inquilino: uma plataforma SaaS que precisa de garantir isolamento total entre dados de clientes diferentes ganha com o rastreio de fluxo de dados da Traceable, que mapeia exatamente que utilizador tocou em que registo.
- Empresas já clientes da Akamai: uma organização que já usa a Akamai para CDN e proteção de edge consolida fornecedores ao adotar o Akamai API Security, evitando duas ferramentas desligadas a fazer trabalho semelhante.
- Equipas de engenharia em fase de arranque: uma equipa pequena que quer começar a testar segurança de API sem orçamento aprovado pode arrancar com a camada gratuita do 42Crunch e só depois avaliar uma ferramenta de runtime.
- Empresas a lançar agentes de IA internos: uma organização que está a implementar agentes autónomos ligados a servidores MCP precisa de visibilidade sobre esse tráfego novo, e a capacidade dedicada da Salt Security para agentes de IA cobre esse cenário melhor do que qualquer concorrente direto neste momento.
A convergência com CNAPP que ninguém pode ignorar
Há uma quarta trajetória que qualquer comprador deveria pesar antes de assinar um contrato: as plataformas de proteção de aplicações nativas em nuvem (CNAPP) estão a absorver segurança de API como capacidade nativa. Wiz, Orca e Prisma Cloud acrescentaram descoberta e gestão de postura de API nos últimos 18 meses, segundo a análise da Cybersecurity Essential. Já explorámos este tipo de plataforma no nosso artigo sobre CSPM: Wiz vs Prisma vs Defender.
Nenhum módulo de API nativo de CNAPP é ainda tão sofisticado como uma plataforma dedicada, mas a distância está a encurtar. Para muitas empresas de médio porte, uma cobertura “suficientemente boa”, embutida na CNAPP que já pagam, pesa mais do que uma plataforma independente com melhor desempenho isolado. É o mesmo padrão que já se viu em CSPM, DSPM e SSPM: os fornecedores especializados continuam relevantes no topo do mercado, e as capacidades embutidas absorvem o meio da tabela. Se a sua empresa já usa uma CNAPP e a superfície de API é moderada, ativar o módulo de API dessa plataforma antes de comprar qualquer ferramenta nova costuma ser o primeiro passo lógico.
O que isto significa para empresas portuguesas sujeitas ao RGPD e à NIS2
Para uma equipa de TI em Portugal, a discussão sobre segurança de API não é só técnica. O regime que transpõe a NIS2 já obriga milhares de entidades portuguesas, entre elas fornecedores de serviços digitais e operadores de infraestrutura crítica, a reportar incidentes significativos num prazo curto. Se uma API exposta ao público for o ponto de entrada de uma fuga de dados, a organização tem de o comunicar, e a ausência de visibilidade sobre o que aconteceu (quais objetos foram acedidos, por que utilizador, a partir de que origem) transforma um incidente pequeno numa investigação demorada. É exatamente esse tipo de contexto que a Traceable, com o seu rastreio de fluxo de dados, e a Salt Security, com os seus registos comportamentais, conseguem entregar a uma equipa de resposta a incidentes.
O RGPD acrescenta outra camada de exigência: uma API mal configurada que exponha dados pessoais de forma não intencional constitui, na prática, uma violação de dados sujeita a notificação à Comissão Nacional de Proteção de Dados. Descobrir “shadow APIs” deixadas por um projeto antigo, ou um endpoint de teste que nunca foi desligado, é hoje um requisito de conformidade tanto quanto uma boa prática de engenharia. As três plataformas centrais deste artigo tratam a descoberta de shadow APIs como funcionalidade base, mas a Akamai, herdando a força histórica da Noname nessa área, continua a ser a referência do setor quando o objetivo principal é simplesmente saber o que existe.
Checklist para avaliar um fornecedor antes de assinar
Como quase todo o mercado vende por cotação, uma prova de conceito bem conduzida vale mais do que qualquer folha de especificações. Antes de assinar um contrato anual, confirme estes pontos com o fornecedor:
- Peça um relatório de descoberta completo do seu próprio ambiente antes de negociar preço. Se a ferramenta encontrar menos APIs do que a sua equipa já sabe que existem, é um sinal de alerta imediato.
- Exija números concretos de falsos positivos durante a prova de conceito, não apenas a promessa de “deteção com IA”. Uma plataforma que gera alertas em excesso acaba ignorada pela equipa de operações ao fim de poucas semanas.
- Confirme se o preço escala com o volume de chamadas de API ou com o número de endpoints, porque estes dois modelos produzem faturas muito diferentes à medida que a empresa cresce.
- Verifique a cobertura de protocolos que a sua organização realmente usa: GraphQL e gRPC não são bem servidos por todas as plataformas, apesar do que os materiais de marketing sugerem.
- Pergunte diretamente que percentagem das capacidades anunciadas resultou de uma aquisição recente e ainda está em integração, um ponto especialmente relevante para a Akamai API Security e para a Traceable neste momento.
- Confirme se existe suporte dedicado a tráfego gerado por agentes de IA e servidores MCP, uma vez que este tipo de tráfego está a crescer mais depressa do que qualquer outra categoria de chamadas de API em 2026.
Guia de migração: como trocar de plataforma sem interromper produção
Trocar de fornecedor de segurança de API é uma operação sensível, porque qualquer erro de configuração pode bloquear tráfego legítimo ou, pior, deixar de detetar um ataque real durante a transição. Este é o percurso que reduz esse risco:
- Inventariar o parque atual de APIs. Antes de mudar de ferramenta, confirme quantas APIs existem hoje, incluindo as que a ferramenta antiga nunca descobriu. Sem esta base, é impossível medir se a nova plataforma está a cobrir mais ou menos superfície.
- Correr a nova plataforma em modo de observação. Ligue a ferramenta nova em paralelo com a antiga, em modo fora de linha ou de auditoria, sem bloquear nada. Isto vale tanto para a Salt e a Traceable, nativamente fora de linha, como para a Wallarm e a Cequence, que suportam modos de auditoria antes do bloqueio ativo.
- Comparar deteções entre as duas ferramentas durante 2 a 4 semanas. Confirme que a nova plataforma apanha, no mínimo, as mesmas categorias do OWASP API Top 10 que a antiga já cobria, e documente qualquer lacuna antes de avançar.
- Mapear as integrações de CI/CD. Se a organização depende de testes automáticos de especificação OpenAPI (como os do 42Crunch ou os módulos ativos da Akamai), estas integrações têm de ser recriadas no pipeline antes do corte definitivo, não depois.
- Migrar por lotes de APIs críticas. Comece pelas APIs que processam dados sensíveis ou pagamentos, não pelas mais fáceis de configurar. É aí que um erro custa mais caro.
- Ativar o bloqueio ativo de forma gradual. Só depois de confirmar paridade de deteção é que faz sentido passar do modo de alerta para o modo de bloqueio automático, e mesmo assim, faça-o API a API, não em bloco.
- Desativar a ferramenta antiga por fases. Mantenha a plataforma anterior ativa, mas em modo passivo, durante pelo menos um ciclo de faturação completo, antes de a desligar de vez.
Prós e contras de cada plataforma
Antes de decidir, vale a pena olhar para os prós e contras lado a lado, sem o filtro de marketing de cada fornecedor.
- Salt Security (prós): deteção comportamental de referência para BOLA e BOPLA, zero latência acrescentada, capacidade líder para agentes de IA e MCP.
- Salt Security (contras): não bloqueia sozinha (depende de WAF ou gateway), sem camada gratuita, preço tipicamente elevado.
- Akamai API Security (prós): cobertura completa do ciclo de vida (descoberta, postura, runtime, testes), integração com edge global, forte contra abuso volumétrico.
- Akamai API Security (contras): maior valor só se realiza sendo já cliente Akamai, produto ainda em fase de integração pós-aquisição.
- Traceable/Harness (prós): visibilidade excecional sobre fluxo de dados sensíveis, forte para conformidade (RGPD, PCI DSS), CI/CD nativo se já usar Harness.
- Traceable/Harness (contras): traz consigo o peso de todo um stack de DevSecOps, fraco encaixe para quem só quer uma ferramenta de API isolada.
Qual escolher: recomendações por caso de uso
Não existe uma resposta única, mas há um padrão claro consoante a prioridade da organização. Se o objetivo é a deteção comportamental mais forte e já existe uma WAF ou gateway para bloquear, a Salt Security é a escolha natural. Se a empresa já é cliente Akamai e quer consolidar descoberta, postura, runtime e testes num só fornecedor, a Akamai API Security resolve isso sem adicionar mais um contrato a gerir.
Se a prioridade é rastrear fluxos de dados sensíveis para efeitos de conformidade ou de investigação forense pós-incidente, a Traceable, agora dentro da Harness, continua a ser a opção mais forte, especialmente para quem já corre essa plataforma em CI/CD. Equipas que operam APIs em GraphQL ou gRPC e querem bloqueio inline nativo devem olhar para a Wallarm. Negócios que sofrem sobretudo abuso automatizado de bots, a volumes muito elevados, encaixam melhor com a Cequence. E equipas de engenharia que ainda não têm orçamento aprovado para uma ferramenta de runtime podem começar já, sem custo, com o 42Crunch, testando o valor da auditoria de especificação antes de dar o próximo passo. Se a sua equipa já faz testes de intrusão manuais, vale a pena rever também o nosso guia de pentest de APIs em Node.js para complementar qualquer uma destas plataformas com verificação humana.
Para a maioria das equipas de segurança de média dimensão, o padrão mais pragmático combina um detetor de runtime (Salt ou Akamai) com testes shift-left (42Crunch): defesa comportamental em produção, mais prevenção ao nível da especificação no pipeline. Isto não substitui uma estratégia mais ampla de gestão de vulnerabilidades, algo que já detalhámos na comparação entre Tenable, Qualys e Rapid7.
Veredito final com dados
Os números não deixam margem para dúvida sobre a urgência: 43% das vulnerabilidades novas confirmadas como exploradas pela CISA em 2025 tinham origem em APIs, a BOLA continua a liderar os ataques reais desde 2019, e mais de 70% do tráfego de internet atual passa por APIs. Nenhuma organização com exposição pública a APIs pode adiar esta decisão para o próximo trimestre.
Entre as três plataformas centrais, não há um vencedor absoluto, e esse é o resultado mais honesto que os dados permitem. A Salt Security vence em profundidade de deteção para quem já tem infraestrutura de bloqueio. A Akamai API Security vence em consolidação para quem já vive no ecossistema Akamai. A Traceable, dentro da Harness, vence em contexto de dados para quem responde a exigências de conformidade rigorosas. A escolha errada não é escolher a ferramenta “pior”: é escolher sem primeiro definir qual destes três problemas dói mais na sua organização.
Vale ainda notar o que os dados não dizem. Nenhuma das plataformas analisadas resolve sozinha o problema de fundo: a maioria das falhas de API nasce de decisões de arquitetura tomadas anos antes de qualquer ferramenta de deteção entrar em cena. Comprar uma plataforma de segurança de API sem rever também os controlos de autorização no código é tratar o sintoma sem tocar na causa. A ferramenta certa reduz o tempo até detetar e reagir a um ataque; não substitui uma revisão séria de como cada API valida permissões antes de devolver dados.
Perguntas frequentes
Uma WAF já não chega para proteger APIs?
Não sozinha. Uma WAF inspeciona pedidos contra assinaturas e regras conhecidas, o que não apanha falhas de autorização como a BOLA nem abuso de lógica de negócio. As plataformas dedicadas de segurança de API acrescentam descoberta automática de shadow APIs e análise comportamental que uma WAF não tem contexto para fazer. Já cobrimos o lado da proteção perimetral em Cloudflare WAF vs AWS WAF vs ModSecurity.
Quanto custa realmente uma plataforma de segurança de API em 2026?
A maioria funciona por cotação e por volume de tráfego. Como referência pública, a Salt Security foi apontada perto de 100.000 dólares por ano para cerca de 100 milhões de chamadas de API por mês, enquanto a Akamai API Security tipicamente arranca na casa dos milhares de dólares por mês. O 42Crunch é a exceção, com camada gratuita e planos pagos a partir de cerca de 15 dólares por utilizador.
O que é BOLA e porque é que todas estas plataformas falam tanto dela?
BOLA (Broken Object Level Authorization) é o risco API1 do OWASP API Top 10: a API não confirma se o utilizador tem mesmo permissão para aceder a um objeto específico, permitindo que um atacante troque um identificador no pedido e leia dados de outra pessoa. Lidera a lista desde 2019 e é invisível a ferramentas baseadas em assinaturas.
Devo escolher uma ferramenta inline ou fora de linha?
Ferramentas fora de linha, como a Salt e, em parte, a Traceable, analisam tráfego espelhado sem acrescentar latência, mas não bloqueiam sozinhas: alertam e entregam a aplicação da regra a uma WAF ou gateway. Ferramentas inline, como a Wallarm e a Cequence, bloqueiam diretamente no caminho do pedido, mas acrescentam um salto e exigem planeamento de capacidade. Muitas empresas combinam as duas abordagens.
A Noname Security ainda existe como produto independente?
Não. Foi comprada pela Akamai em junho de 2024 e opera hoje como Akamai API Security, integrada com a infraestrutura de edge da empresa.
Uma plataforma CNAPP pode substituir uma ferramenta dedicada de segurança de API?
Para superfícies de API moderadas, o módulo de API embutido numa CNAPP como Wiz, Orca ou Prisma Cloud costuma ser suficiente. Para organizações com um parque de APIs complexo, alto volume de tráfego sensível, ou exigências regulatórias fortes, uma plataforma dedicada ainda oferece profundidade de deteção que os módulos nativos de CNAPP não replicam totalmente em 2026.
O que muda com a chegada de agentes de IA que consomem APIs?
Agentes autónomos geram tráfego de API a um volume e com padrões de autorização diferentes dos de utilizadores humanos. A Salt Security é, atualmente, a plataforma com a capacidade mais madura dedicada a proteger agentes de IA e servidores MCP, uma área onde a maioria dos concorrentes ainda está em fase inicial.
Preciso de uma ferramenta separada se as minhas APIs já estão atrás de um gateway?
Um gateway de API trata de encaminhamento, autenticação básica e limitação de taxa, mas raramente tem a profundidade comportamental para detetar BOLA ou abuso de lógica de negócio. As duas camadas são complementares, não substitutas uma da outra.
