Te dan un endpoint REST sin documentación. ¿Qué testeas?

Empieza por el contrato: códigos de estado, esquema de respuesta, tipos de contenido y campos obligatorios frente a opcionales. Luego valida cada entrada (ausente, tipo incorrecto, fuera de rango, demasiado grande), testea autenticación y autorización incluyendo el acceso al recurso de otro usuario, comprueba la coherencia de las respuestas de error, la idempotencia ante envíos duplicados, la paginación y la ordenación, la limitación de peticiones, y el comportamiento cuando una dependencia falla o se agota el tiempo.

Primero mapeo el contrato, porque sin documentación necesito conocer la forma antes de poder juzgarla. Llamada del camino feliz, y luego miro el código de estado, las cabeceras, el cuerpo de la respuesta, y si los campos tienen nombres y tipos coherentes. Después ataco las entradas de una en una: omito cada campo obligatorio, mando una cadena donde va un número, mando un negativo, mando un valor que pase cualquier longitud razonable, mando campos extra que no pidió y miro si los rechaza o los ignora en silencio. Y luego la parte que más me importa, que es la autorización como algo distinto de la autenticación. Estar autenticado no es tener permiso. Así que cojo un token válido de un usuario y pido el recurso de otro usuario por ID, porque esa clase de bug es común y de verdad grave. Después de eso: ¿un POST repetido crea dos registros?, ¿la paginación se comporta en la página cero y más allá del final?, ¿los cuerpos de error tienen forma coherente?, ¿hay limitación de peticiones?, ¿y qué pasa cuando un servicio de más abajo va lento? Le pondría un proxy delante y trastearía las respuestas para ver si degrada o suelta un 500.