Inicio/Seguridad de APIs
Servicio
Seguridad de APIs
Tu API no tiene pantalla de login que la proteja: responde a quien le pregunte bien. Por eso es el lugar donde más veces encuentro datos de clientes al alcance de cualquiera.
Agendar diagnóstico gratuitodentro de Blindaje Total, desde Gs. 5.500.000
Por qué la API se audita aparte
La aplicación web esconde botones según el rol del usuario. La API no esconde nada: expone rutas, y cada ruta decide por su cuenta si te deja pasar. Si una sola se olvida de preguntar quién sos, queda abierta.
El caso típico: el panel de administración le pide al servidor la lista de clientes. La pantalla solo se la muestra al admin, pero la ruta que la devuelve responde igual a cualquiera que la llame directamente, sin pasar por la pantalla.
Ningún escáner automático encuentra eso, porque para detectarlo hay que entender qué debería poder ver cada rol en tu negocio.
Qué se prueba
- Autorización por ruta: qué devuelve cada endpoint a un usuario sin permiso
- Datos de más: respuestas que incluyen campos que la pantalla nunca muestra
- Límite de intentos y abuso de endpoints sensibles
- Acceso a registros ajenos cambiando identificadores
- Inyección avanzada: SQLi ciego, NoSQL, plantillas y deserialización
- Ataques al servidor a través de funciones del sitio: SSRF y XXE
Un hallazgo real, anonimizado
Así se ve un punto del informe. El texto de arriba lo lee el dueño; el bloque técnico lo usa el desarrollador para reproducirlo.
El formulario de registro revela qué correos ya tienen cuenta
Al intentar registrarse con un correo existente, el sistema responde "ese email ya está registrado". Un atacante puede confirmar uno por uno qué clientes tuyos tienen cuenta.
Qué significa para el negocio: combinado con la falta de límite de intentos en el login, permite armar una lista de tus clientes y probar contraseñas contra cada uno.
POST /auth/create HTTP/1.1 email=cliente@ejemplo.com HTTP/1.1 422 "The email has already been taken."
Preguntas frecuentes
¿Sirve si mi API es privada y solo la usa mi propia app?
Sí, y suele ser el caso con más hallazgos. Que la use solo tu app no la esconde: cualquiera puede abrir las herramientas del navegador, ver las llamadas que hace y repetirlas a mano.
¿Qué necesitás para empezar?
El dominio de la API, una cuenta de prueba por cada rol que exista y, si tenés, la documentación de los endpoints. Si no hay documentación, se releva desde la propia aplicación.
¿Esto está incluido en la Auditoría Completa?
Parcialmente. La Auditoría Completa cubre la aplicación web y toca la API en lo que la aplicación usa. El barrido completo de la API, con autorización por ruta e inyección avanzada, es parte de Blindaje Total.
Empezá por el diagnóstico gratuito
Me pasás tu dominio y te devuelvo los tres riesgos más urgentes. Sin costo y sin compromiso.
Escribirme por WhatsApp Ver los tres planesSeguir leyendo