Покрытие считают не «числом запросов», а долей критичных операций/веток контракта и рисков: authz, негатив, идемпотентность, совместимость версий.
Разбор
- Матрица endpoint × методы × роли × позитив/негатив.
- OpenAPI coverage: невызванные operationId.
- Риск-ориентировано: платежи и PII важнее справочника цветов.
- Мутационное/контрактное CI как сигнал дыр.
Итог
Хорошая метрика — риск закрыт, а не «80% путей OpenAPI зелёные».