muffinn

.

[muffinn @YamilNeil]

https://t.co/siYH44AOld

[Santiago Hernández @santiagohramos]

Consejos interesantes para aplicar Ciberseguridad a APIs

𝐔𝐭𝐢𝐥𝐢𝐳𝐚𝐫 𝐇𝐓𝐓𝐏𝐒: Se recomienda establecer una conexión segura mediante el protocolo HTTPS para proteger la información transmitida.

𝐔𝐭𝐢𝐥𝐢𝐳𝐚𝐫 𝐎𝐀𝐮𝐭𝐡𝟐: OAuth2 es un protocolo de autorización que permite a los usuarios proporcionar acceso a su información sin revelar sus credenciales.

𝐔𝐭𝐢𝐥𝐢𝐳𝐚𝐫 𝐖𝐞𝐛𝐀𝐮𝐭𝐡𝐧: WebAuthn es una norma para la autenticación segura en la web que permite a los usuarios acceder a servicios en línea con dispositivos locales de autenticación, como biometría o llaves de seguridad.

𝐀𝐮𝐭𝐨𝐫𝐢𝐳𝐚𝐜𝐢𝐨́𝐧: Se debe controlar el acceso a la API garantizando que los usuarios puedan ver ciertos recursos, pero no necesariamente modificarlos, según los permisos asignados.

𝐋𝐢𝐦𝐢𝐭𝐚𝐜𝐢𝐨́𝐧 𝐝𝐞 𝐏𝐞𝐭𝐢𝐜𝐢𝐨𝐧𝐞𝐬 (𝐑𝐚𝐭𝐞 𝐋𝐢𝐦𝐢𝐭𝐢𝐧𝐠): Para proteger la API de diferentes ataques, es importante diseñar reglas que restrinjan el número de solicitudes que un usuario puede hacer en un periodo de tiempo determinado.

𝐔𝐬𝐨 𝐝𝐞 𝐂𝐥𝐚𝐯𝐞𝐬 𝐀𝐏𝐈 𝐜𝐨𝐧 𝐍𝐢𝐯𝐞𝐥𝐞𝐬 𝐝𝐞 𝐀𝐜𝐜𝐞𝐬𝐨: Las claves API deben tener diferentes niveles de acceso para diferentes usuarios o servicios, lo que aumenta la seguridad al limitar las capacidades de una clave comprometida.

𝐕𝐞𝐫𝐬𝐢𝐨𝐧𝐚𝐝𝐨 𝐝𝐞 𝐀𝐏𝐈 (𝐀𝐏𝐈 𝐕𝐞𝐫𝐬𝐢𝐨𝐧𝐢𝐧𝐠): Mantener versiones de la API permite que los cambios se introduzcan sin interrumpir los servicios para los clientes que utilizan versiones anteriores.

𝐋𝐢𝐬𝐭𝐚 𝐝𝐞 𝐏𝐞𝐫𝐦𝐢𝐭𝐢𝐝𝐨𝐬 (𝐀𝐥𝐥𝐨𝐰𝐥𝐢𝐬𝐭): Se deben diseñar reglas que solo permitan el acceso a usuarios o direcciones IP confiables, reforzando así la seguridad al restringir quién puede hacer solicitudes a la API.

𝐔𝐭𝐢𝐥𝐢𝐳𝐚𝐫 𝐏𝐚𝐬𝐚𝐫𝐞𝐥𝐚 𝐝𝐞 𝐀𝐏𝐈 (𝐀𝐏𝐈 𝐆𝐚𝐭𝐞𝐰𝐚𝐲): Un API Gateway actúa como un punto de control que gestiona las solicitudes entrantes a las APIs, facilitando funciones como la autenticación, la autorización y el monitoreo.

𝐌𝐚𝐧𝐞𝐣𝐨 𝐝𝐞 𝐄𝐫𝐫𝐨𝐫𝐞𝐬 (𝐄𝐫𝐫𝐨𝐫 𝐇𝐚𝐧𝐝𝐥𝐢𝐧𝐠): Los mensajes de error deben ser descriptivos y útiles, sin revelar detalles internos que puedan ser explotados por un atacante.

𝐕𝐚𝐥𝐢𝐝𝐚𝐜𝐢𝐨́𝐧 𝐝𝐞 𝐄𝐧𝐭𝐫𝐚𝐝𝐚𝐬 (𝐈𝐧𝐩𝐮𝐭 𝐕𝐚𝐥𝐢𝐝𝐚𝐭𝐢𝐨𝐧): Es crucial validar todas las entradas recibidas a través de la API para evitar inyecciones y otros ataques, utilizando validadores en la pasarela de API.

𝐑𝐞𝐯𝐢𝐬𝐚𝐫 𝐥𝐨𝐬 𝐑𝐢𝐞𝐬𝐠𝐨𝐬 𝐝𝐞 𝐒𝐞𝐠𝐮𝐫𝐢𝐝𝐚𝐝 𝐞𝐧 𝐛𝐚𝐬𝐞 𝐚 𝐎𝐖𝐀𝐒𝐏: OWASP proporciona una lista de riesgos y ataques de seguridad comunes que deben ser revisados y mitigados para proteger la API de vulnerabilidades conocidas.