Por qué importa la seguridad de las APIs

Las APIs son la superficie de ataque más grande de cualquier aplicación moderna. El 91% de las organizaciones tuvieron un incidente de seguridad relacionado con APIs en 2023 (Salt Security API Security Report). En sectores como salud o fintech, una API mal asegurada puede suponer multas RGPD, pérdida de datos de pacientes o fraude financiero.

Este checklist está basado en el OWASP API Security Top 10 y en los patrones de vulnerabilidad que encontramos con más frecuencia en proyectos de software empresarial.

1. Autenticación y autorización

Cada endpoint requiere autenticación a menos que sea explícitamente público y se haya justificado por qué.
Se usa OAuth 2.0 / OpenID Connect o JWT con firma correcta. No se usan cookies de sesión en APIs consumidas por terceros.
Los tokens JWT tienen tiempo de expiración corto (máximo 1 hora para access tokens) y se usan refresh tokens para renovación.
Los tokens se validan en el servidor: firma, expiración, issuer y audience. No solo se decodifican.
Se implementa autorización a nivel de objeto (BOLA / IDOR): un usuario no puede acceder a recursos de otro usuario aunque cambie el ID en la URL. Ejemplo: /api/pedidos/12345 solo lo ve el dueño del pedido 12345.
Se implementa autorización a nivel de función: los roles están definidos y cada endpoint verifica que el usuario tiene el rol necesario.
Las claves de API (si se usan) se rotan periódicamente y se pueden revocar individualmente.

2. Exposición de datos

Los endpoints solo devuelven los campos necesarios. No se hace SELECT * y se expone todo el objeto al cliente.
Los campos sensibles (contraseñas, tokens, datos bancarios, datos de salud) nunca aparecen en respuestas de API, aunque sea en campos "ocultos".
Los mensajes de error no revelan información interna: rutas de ficheros, queries SQL, stack traces, versiones de librerías.
Los endpoints de listado tienen paginación obligatoria con límite máximo razonable (ej. 100 registros por página).

3. Validación de entrada

Todos los parámetros de entrada se validan en el servidor: tipo, formato, longitud máxima, caracteres permitidos.
La validación ocurre en el servidor independientemente de la validación en el cliente.
Los campos de texto se sanean para prevenir inyección SQL, XSS y inyección de comandos.
Las subidas de ficheros validan el tipo real del fichero (no solo la extensión) y tienen límite de tamaño.
Los endpoints que reciben JSON tienen un límite de tamaño del body (ej. 1MB) para prevenir ataques de denegación de servicio.

4. Rate limiting y abuso

Existe rate limiting por IP y/o por usuario en todos los endpoints, especialmente en los de autenticación.
Los endpoints de login tienen bloqueo temporal tras N intentos fallidos consecutivos (ej. 5 intentos → bloqueo 15 minutos).
Existe protección contra scraping masivo: si alguien pagina todos los recursos a alta velocidad, se detecta y bloquea.
Los endpoints de reset de contraseña y OTP tienen rate limiting estricto.

5. Transporte y cabeceras

La API solo acepta conexiones HTTPS. Las peticiones HTTP redirigen a HTTPS o se rechazan.
El certificado TLS es válido, no ha expirado y usa TLS 1.2 como mínimo (preferible 1.3).
Las cabeceras de respuesta incluyen:
- X-Content-Type-Options: nosniff
- X-Frame-Options: DENY
- Strict-Transport-Security: max-age=31536000
Los endpoints CORS tienen una lista blanca de orígenes permitidos. No se usa Access-Control-Allow-Origin: * en APIs con datos sensibles.

6. Inventario y gobierno

Existe un inventario actualizado de todos los endpoints de la API: URL, método, autenticación requerida, datos que maneja.
Las APIs de terceros integradas están documentadas: qué datos envías, qué recibes, bajo qué condiciones de privacidad.
Los endpoints deprecados o no utilizados están desactivados. Las APIs "zombie" son una fuente frecuente de vulnerabilidades.
Existe un proceso para gestionar vulnerabilidades: cómo se reportan, quién las atiende, en cuánto tiempo se parchean.

Herramientas recomendadas

Finalidad	Herramienta gratuita	Herramienta de pago
Escaneo de vulnerabilidades	OWASP ZAP	Burp Suite Pro
Auditoría de dependencias	`npm audit`, `trivy`	Snyk, Dependabot
Pruebas de carga / DoS	k6, Locust	Artillery Pro
Gestión de secretos	HashiCorp Vault (open source)	AWS Secrets Manager, GCP Secret Manager
Análisis estático (SAST)	Semgrep (community)	SonarQube, Checkmarx

Checklist de seguridad para APIs REST