Seguridad de APIs

Por Qué Importa

Las APIs impulsan prácticamente todas las aplicaciones modernas. Cada vez que un usuario inicia sesión, realiza un pago, sube un archivo o actualiza un perfil, una API procesa la solicitud. Las aplicaciones móviles, las aplicaciones web de página única, los dispositivos IoT y las arquitecturas de microservicios dependen de las APIs para funcionar.

Esto convierte a las APIs en uno de los objetivos más valiosos para los atacantes. Una vulnerabilidad en una API puede exponer millones de registros de usuarios, permitir transacciones no autorizadas o posibilitar la toma completa de cuentas. A diferencia de los ataques web tradicionales que apuntan al navegador, los ataques a APIs se dirigen a la lógica del servidor que procesa cada solicitud.

El desafío es que las APIs frecuentemente exponen más funcionalidad de la que sugiere la interfaz de usuario. Un formulario web puede ofrecer cinco campos, pero la API subyacente puede aceptar cincuenta. Una aplicación móvil puede mostrar los datos de un usuario, pero la API puede devolver los datos de cualquier usuario si se cambia el ID. La seguridad debe aplicarse a nivel de API porque los controles del frontend se evaden fácilmente.

Para los pentesters y cazadores de bug bounty, la seguridad de APIs representa una de las áreas de pruebas de mayor impacto. Los bugs de API más comunes, como Broken Object Level Authorization (BOLA/IDOR) y autenticación rota, a menudo no requieren habilidades avanzadas de explotación, solo observación cuidadosa y pensamiento lógico.

Conceptos Fundamentales

Autenticación vs. Autorización

Los fundamentos de la seguridad de APIs se basan en dos pilares: autenticación (demostrar quién eres) y autorización (demostrar qué tienes permitido hacer). La autenticación verifica la identidad mediante credenciales, tokens o certificados. La autorización determina si un usuario verificado tiene permiso para acceder a un recurso específico o realizar una acción específica.

La mayoría de las vulnerabilidades críticas de APIs explotan brechas entre estos dos conceptos. Una API puede verificar correctamente que un usuario ha iniciado sesión (autenticación) pero no verificar que el usuario debería acceder al recurso solicitado (autorización).

Amenazas Comunes de Seguridad en APIs

El OWASP API Security Top 10 categoriza las amenazas más prevalentes en APIs:

• Broken Object Level Authorization (BOLA/IDOR): acceder a los datos de otro usuario cambiando identificadores de recursos
• Autenticación rota: debilidades en el manejo de tokens, gestión de sesiones o verificación de credenciales
• Exposición excesiva de datos: APIs que devuelven más datos de los que el frontend necesita
• Asignación masiva: APIs que aceptan campos que los usuarios no deberían poder modificar
• Broken Function Level Authorization: acceder a funciones administrativas con credenciales de no administrador

Herramientas de Pruebas de Seguridad de APIs

Las herramientas principales para pruebas de seguridad de APIs incluyen:

• Burp Suite: interceptar, modificar y reenviar solicitudes de API
• Postman: organizar y enviar solicitudes de API estructuradas
• ffuf/Gobuster: descubrir endpoints de API ocultos
• jwt.io: decodificar y analizar tokens JWT

Cómo Proteger las APIs

La seguridad efectiva de APIs requiere defensa en múltiples capas:

1. Implementar verificaciones de autorización adecuadas en cada endpoint, verificando no solo la autenticación sino los permisos a nivel de objeto y de función
2. Devolver solo los datos necesarios en las respuestas de la API; nunca enviar objetos completos de base de datos al cliente
3. Validar toda la entrada en el lado del servidor, incluyendo cuerpos de solicitud, parámetros de consulta y cabeceras
4. Usar limitación de tasa y throttling para prevenir ataques de fuerza bruta y abuso de recursos
5. Implementar gestión adecuada de tokens con expiración, rotación e invalidación del lado del servidor al cerrar sesión
6. Mantener un inventario de APIs para rastrear todos los endpoints, incluyendo versiones obsoletas
7. Registrar y monitorizar todo el acceso a las APIs en busca de patrones anómalos