Para empezarTener HTTPS en tu API no sirve de nada si tu sistema de autenticación está diseñado con fallos lógicos desde la base.
El talón de Aquiles moderno
Más del 40% de las brechas de datos en aplicaciones web actuales se originan en fallos de control de acceso y autenticación en APIs, superando con creces a las clásicas inyecciones SQL.
Autenticación vs Autorización
La autenticación responde a la pregunta de '¿Quién eres?' validando tus credenciales. La autorización responde a '¿Qué puedes hacer?', determinando si tu rol tiene permisos para acceder al recurso solicitado.
El flujo típico con JWT
Los JSON Web Tokens son el estándar en APIs modernas, pero su ciclo de vida requiere validaciones estrictas en cada extremo de la comunicación.
Marca cada paso al entenderlo · 0/4
Inspeccionando un token
Analizar la estructura de un token expuesto en el tráfico nos permite identificar si contiene información sensible en texto plano dentro de su payload.
$ curl -H 'Authorization: Bearer eyJhbGciOi...' https://api.target.com/v1/user
HTTP/1.1 200 OK
Content-Type: application/json
{"status":"success","role":"admin","user_id":1042}
El error del algoritmo 'none'
Un error crítico histórico en muchas librerías de JWT permitía alterar la cabecera del token indicando el algoritmo 'none', desactivando por completo la verificación de firma y permitiendo falsificar cualquier identidad.
IDOR: El fallo invisible
La Referencia Directa a Objetos Inseguros ocurre cuando una API autoriza al usuario pero no valida si este es realmente el propietario del recurso, permitiendo cambiar IDs en la URL para robar datos ajenos.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar