Postman para APIs

Postman es un cliente de APIs pensado para construir y organizar peticiones de forma cómoda. Mientras Burp destaca interceptando tráfico, Postman brilla cuando trabajas con una API documentada (Swagger/OpenAPI) y quieres lanzar peticiones estructuradas, reutilizar tokens y encadenar llamadas.

Conceptos básicos

Montar una petición

1. Elige el método (GET, POST…) y escribe la URL.
2. En Authorization, elige el tipo (Bearer Token, API Key, Basic Auth) y pega tu token.
3. En Headers, añade por ejemplo Content-Type: application/json.
4. En Body → raw → JSON, escribe el cuerpo de la petición.
5. Send.

copiar// Ejemplo de Body para crear un usuario
{
  "username": "test",
  "password": "Test1234!",
  "role": "admin"
}

Importar una API entera (Swagger/OpenAPI)

Si encontraste un openapi.json o swagger.json durante la enumeración, impórtalo directamente:

Import → File/Link → pega la URL del openapi.json.

Postman genera automáticamente una colección con todos los endpoints, sus parámetros y ejemplos. A partir de ahí solo tienes que ir probando cada uno.

Variables de entorno (reutilizar el token)

Crea un Environment con variables para no repetir datos:

copiarbase_url = http://<IP>/api/v1
token    = eyJhbGciOi...

Y úsalas en las peticiones:

copiarGET {{base_url}}/users/me
Authorization: Bearer {{token}}

Cuando el token caduque, lo cambias en un solo sitio.

copiarpm.environment.set("token", pm.response.json().access_token);

Postman + Burp (lo mejor de ambos)

Puedes enrutar el tráfico de Postman a través de Burp para registrar e inspeccionar todo:

Settings → Proxy → Add custom proxy → 127.0.0.1:8080.

Desactiva la verificación de certificado SSL en Postman (Settings → General → SSL certificate verification: OFF) para que funcione con el certificado de Burp.

Así construyes peticiones cómodas en Postman y las analizas/repites en Burp.

Postman vs. Burp: ¿cuándo cada uno?