Endpoint Analyzer

Ferramenta para desenvolvedores que reconstrói as chamadas de API de um site analisando os arquivos JavaScript que a página carrega — e gera o cURL pronto para importar no Bruno, no Postman ou no terminal. Diferente de um proxy, ela não mostra só o que já aconteceu: ela lê o bundle .js e reconstrói as requests que o código PODE fazer — método, URL completa (base + path), segmentos dinâmicos (:id) e o formato do corpo (as chaves do JSON) e da query. O QUE ELA FAZ • Requests montadas — baixa os .js carregados pela aba e reconstrói cada chamada de API: método (GET/POST/PUT/PATCH/DELETE), URL resolvida (constantes ENDPOINT_* viram a URL base + path), query params e as chaves do corpo. • Endpoints (JS) — a tabela de constantes de endpoint → URL base e todas as URLs (https/wss) encontradas no código. • Capturadas ao vivo — registra as requisições reais que a página faz (fetch/XHR) só para pescar os headers de autenticação da sua própria sessão, usados para completar o cURL. Também copia o cURL real dessas. • cURL num clique — clique numa request e o comando vai para a área de transferência já com os headers de auth da sua sessão e um esqueleto do corpo. Também copia como fetch, axios ou python-requests. • Verdade-base OpenAPI/GraphQL — busca o spec (/openapi.json, /swagger.json, /v3/api-docs) e mescla método/params/schema; detecta GraphQL (bundle, POSTs ao vivo e introspection quando permitido). • Streams (WS/SSE) — captura WebSocket e Server-Sent Events e gera os comandos websocat / wscat / curl -N. • Exportar coleção — Postman v2.1, Insomnia v4, OpenAPI 3 (importa no Bruno), HAR, ou o JSON completo. • Desofuscar JS — classifica cada .js da página como limpo, minificado ou ofuscado por heurística local (nomes hex _0x…, escapes \x/\u, eval/Function, densidade de colchetes, linhas gigantes). A classificação roda no seu navegador e não envia nada. • Fuzzer (ffuf) — descoberta de rotas e parâmetros no alvo que VOCÊ definir, com marcador FUZZ na URL/headers/corpo, wordlists, filtros por status e exportação (JSON/HAR/Markdown). Use somente em alvos que você é dono ou tem autorização para testar. • Painel no DevTools — além da aba nova, um painel "Endpoint Analyzer" dentro do DevTools; você escolhe qual usar. RECURSOS DE IA (OPCIONAIS — a favor da transparência) Dois botões usam IA, e só funcionam se VOCÊ clicar neles e configurar o modelo: • "Analisar com IA" — envia os trechos relevantes do JavaScript (janelas de código ao redor de chamadas HTTP) e a lista de URLs encontradas, para reconstruir casos que a heurística por regex não resolve. Um campo de teto de caracteres controla quanto é enviado; se você definir o teto como 0, passa a enviar o conteúdo completo dos arquivos (mais caro — a estimativa aparece antes). • "Desofuscar (IA)" — envia o arquivo .js que você selecionou para o modelo reescrevê-lo de forma legível. Em ambos, VOCÊ configura o provedor, o modelo e o endpoint — pode ser um serviço de nuvem à sua escolha (com a SUA chave) OU um modelo executado localmente na sua própria máquina (via http://localhost, por exemplo com Ollama ou LM Studio), caso em que nada sai do seu computador. A extensão mostra uma estimativa de custo em tokens ANTES de enviar e nada é enviado até você confirmar. Se você nunca clicar nesses botões, NENHUM dado é enviado a nenhum modelo. A configuração (endpoint/modelo/chave/teto) fica só no armazenamento local (chrome.storage.local) e a chamada vai direto do seu navegador para o endpoint escolhido — sem servidor intermediário. PARA QUEM É Desenvolvedores, pentesters e QAs que precisam mapear e testar a API de um app web (o seu ou um que você tem autorização para testar) e montar rapidamente as chamadas em uma ferramenta de API. USO RESPONSÁVEL Use apenas em sites que você é dono ou tem autorização para analisar. A extensão é uma ferramenta de inspeção do próprio navegador — a responsabilidade pelo uso é sua. COMO USAR 1. Abra o site alvo e clique no ícone da extensão — abre um painel numa aba nova monitorando aquela aba. 2. Clique em "Analisar local" para reconstruir as requests a partir do bundle e do HTML da página. 3. (Opcional) Faça uma ação logada no site para a extensão capturar o token da sessão e completar o cURL. 4. Clique numa request para copiar o cURL e importe no Bruno/Postman.