Te entregam um endpoint REST sem documentação. O que você testa?

Comece pelo contrato: códigos de status, schema da resposta, content types e campos obrigatórios versus opcionais. Depois valide toda entrada (ausente, tipo errado, fora da faixa, grande demais), teste autenticação e autorização incluindo acesso ao recurso de outro usuário, cheque a consistência das respostas de erro, idempotência em envios duplicados, paginação e ordenação, rate limiting, e o comportamento quando uma dependência falha ou dá timeout.

Primeiro eu mapeio o contrato, porque sem documentação eu preciso conhecer o formato antes de julgá-lo. Chamada do caminho feliz, e então eu olho o código de status, os headers, o corpo da resposta e se os campos são nomeados e tipados de forma consistente. Depois eu ataco as entradas uma de cada vez: omito cada campo obrigatório, mando uma string onde vai um número, mando um negativo, mando um valor além do tamanho que pareça razoável, mando campos extras que ele não pediu e vejo se ele rejeita ou ignora em silêncio. Depois a parte com que eu mais me importo, que é autorização como algo distinto de autenticação. Estar logado não é permissão. Então eu pego um token válido de um usuário e requisito o recurso de outro usuário pelo ID, porque essa classe de bug é comum e genuinamente grave. Depois disso: um POST repetido cria dois registros, a paginação se comporta na página zero e além do fim, os corpos de erro são consistentes no formato, existe rate limiting, e o que acontece quando um serviço abaixo está lento. Eu vou apontar um proxy para ele e adulterar respostas para ver se ele degrada ou solta um 500.