Как вы тестируете обработку ошибок в API? Есть ли у вас чек-лист для 500-х?

Всем привет! Я тут на днях ловила багу в микросервисе — эндпоинт вместо 500-й ошибки возвращал пустое тело с кодом 200. Разбираться пришлось долго, и я задумалась: а как у вас организовано тестирование негативных сценариев в API? Лично я всегда прогоняю обязательный набор: таймауты, невалидные токены, превышение лимитов запросов и, конечно, все коды 4xx и 5xx. Но иногда кажется, что что-то упускаю. Может, у кого-то есть универсальный чек-лист или подход, чтобы не пропускать такие кейсы? Буду рада идеям и ссылкам на полезные практики!