Doyensec lança Session Switcher para alternar sessões no Burp Suite com um clique

A Doyensec lançou oficialmente o Session Switcher em 17 de junho de 2026, como uma extensão Java para o Burp Suite v2025.5 ou superior. Diferente de soluções manuais ou scripts personalizados, ela integra nativamente uma aba 'Sessions' no editor de requisições, visível em Repeater, Intruder e requisições interceptadas pelo Proxy, permitindo salvar conjuntos nomeados de cookies e headers (como Authorization, X-User, ou JWTs) com um clique. A ferramenta extrai automaticamente esses dados de qualquer requisição selecionada, sem necessidade de edição manual ou parsing externo.

O destaque técnico está nas regras de atualização automática: ao configurar uma regra, por exemplo, monitorar requisições com o cabeçalho X-User: alice, a extensão atualiza a sessão 'alice' sempre que novos cookies ou tokens forem detectados no tráfego do Proxy, espelhando fielmente o estado do navegador. Isso resolve um gargalo real em testes de autorização: sessões expiradas que geram falsos negativos em IDOR ou escalada vertical, sem depender de refresh manual ou de terceiros como o Burp's Autorize.

Testes de autorização são críticos e repetitivos, mas historicamente frágeis: um cookie copiado errado, um header esquecido ou um JWT expirado entre requisições pode invalidar todo um cenário de teste, especialmente em aplicações com múltiplos tenants, perfis de usuário granulares ou autenticação baseada em claims dinâmicas. O Session Switcher elimina essa camada de erro humano, reduzindo tempo gasto em tarefas operacionais e aumentando a confiabilidade dos achados. Não é só conveniência: é uma melhoria direta na precisão de relatórios de segurança para clientes finais e auditorias de compliance.

Além disso, sua arquitetura centrada no projeto do Burp (sessões salvas no arquivo .burp) garante portabilidade entre equipes e reprodutibilidade em pentests colaborativos, algo que extensões baseadas em memória RAM ou configurações locais não oferecem.

Para desenvolvedores de segurança e engenheiros de QA com foco em testes de API e web, o Session Switcher reduz a curva de aprendizado para testes avançados de autorização. Não exige conhecimento de Python ou Java para automatizar trocas de contexto, basta definir regras visuais no painel de configurações. A filtragem por domínio evita poluição de sessões em projetos com múltiplas aplicações, e a interface integrada evita janelas flutuantes ou dependências externas como Postman + scripts.

Os planos futuros da Doyensec, como Auto Inject e macro-based refresh, indicam movimento claro para transformar a extensão em uma camada de orquestração de identidade dentro do fluxo do Burp, não apenas um facilitador pontual. Enquanto isso, a versão atual já funciona offline, sem dependência de API remota ou conta de usuário, mantendo o controle total sobre os dados de sessão no ambiente local do pentester.