APIs

Spanish

alice-and-bob

A quien va dirigido este curso

La checklist de seguridad de APIs que usaremos y por qué

Intro y presentación

Medidas de seguridad en al autenticación de APIs

JWT - cómo crear tokens seguros y ponérselo difícil a un atacante

Prevención de DDoS y restricciones de acceso

OAuth - Errores más comunes que comprometen la autorización

Autenticación y Autorización

Securización de entradas de usuarios en APIs REST

Procesamiento del dato, privacidad y ataques

Respuestas de las APIs REST sin exponer información sensible

Entradas, salidas y procesamiento seguro de información

Integración continua - medidas básicas de seguridad y mitos

La monitorización y el peligro de la exfiltración de datos sensibles

Integración continua y monitorización

Repositorios y URL

Trasparencias usadas para las demos

Contenido adicional

<h1 id="f63e3a3a-18e8-47eb-ace4-2d7494d3717c" data-toc-id="f63e3a3a-18e8-47eb-ace4-2d7494d3717c" style="font-size: 32px; font-weight: 600; line-height: 1.2;">Los fallos no avisan a nadie, pero una buena checklist sí</h1>Si buscas en internet encontraréis unas cuantas CheckList de seguridad de APIs REST.Si te fijáis bien, la mayoría están escritas por vendors o son un copy&amp;paste de las típicas checks list cutres de seguridad de aplicaciones web, pero les han cambiado el título.Déjame contarte algo…<h2 id="8584bfcb-523d-48f7-b027-11dab24f7fc1" data-toc-id="8584bfcb-523d-48f7-b027-11dab24f7fc1" style="font-size: 24px; font-weight: 600; line-height: 1.2;">El fallo de GitLab que casi le hace ir a la quiebra</h2>Un simple error de procedimiento llevó a GitLab al borde del desastre.31 de enero de 2017GitLab, una de las plataformas de desarrollo colaborativo más importantes del mundo, experimentó una caída masiva en sus servicios.Durante unas 18 horas, millones de desarrolladores no pudieron acceder a sus repositorios.MILLONES.¿Qué ocurrió?Al investigar, descubrieron que un ingeniero borró accidentalmente una base de datos primaria mientras intentaba resolver un problema menor.Sí, leíste bien:Un simple comando ejecutado sin las medidas adecuadas de seguridad y validación. Lo peor de todo no fue eso.Lo peor fue que, en ese momento, las copias de seguridad no funcionaron como esperaban.Las rutinas de recuperación de datos no habían sido probadas correctamente.Sin servicio. Sin backupsEl caos fue absoluto.GitLab tuvo que emitir disculpas públicas y trabajar frenéticamente durante horas para restaurar la confianza de sus usuarios. ¿Qué evitó que este incidente fuera aún más catastrófico?<h2 id="acf29dd6-adb5-422c-8b18-52c1a7c499fa" data-toc-id="acf29dd6-adb5-422c-8b18-52c1a7c499fa" style="font-size: 24px; font-weight: 600; line-height: 1.2;">Una lista de comprobación.</h2>No te quedes con la idea de que esto solo pasa en empresas grandes.Pasa todos los días.En todas partes.En las APIs funciona igual.Muy pocas empresas tienen una buena lista de checks para API.Y menos de seguridad.<h3 id="b35c5de8-0b21-4d5b-ad1c-abf6afe7d818" data-toc-id="b35c5de8-0b21-4d5b-ad1c-abf6afe7d818" style="font-size: 20px; font-weight: 600; line-height: 1.2;">Haz check de cada punto.</h3><h3 id="0715aa7f-5d29-4701-9652-924e6ee059f5" data-toc-id="0715aa7f-5d29-4701-9652-924e6ee059f5" style="font-size: 20px; font-weight: 600; line-height: 1.2;">Y duerme tranquilo.</h3>Llevo años creando y diseñando software de seguridad para APIs en la empresa de U.K. 42Crunch.Los productos que he diseñado los usan las empresas más grandes del Fortune 500.En USA, España, India, Francia o Reino Unido.He aprendido:<h3 id="651082bb-4169-4499-9f99-04dacc386cb8" data-toc-id="651082bb-4169-4499-9f99-04dacc386cb8" style="font-size: 20px; font-weight: 600; line-height: 1.2;">Todas fallan en lo mismo.</h3><h2 id="4b801245-de76-497e-abe9-97c93807bab1" data-toc-id="4b801245-de76-497e-abe9-97c93807bab1" style="font-size: 24px; font-weight: 600; line-height: 1.2;">Esto es lo que vas a aprender</h2>✔️ ¿Sabías que configurar mal OAuth2 puede exponer datos críticos de tus usuarios? Te enseñamos a proteger estas implementaciones (Capítulo 5, Minuto 10:15).✔️ Qué errores debes evitar al generar y validar JWT, y cómo estos pueden comprometer toda la seguridad de tu aplicación (Capítulo 3, Minuto 8:40).✔️ Los beneficios de implementar listas de comprobación para procesos de CI/CD, y cómo eso previene errores de despliegue (Capítulo 9, Minuto 5:02).✔️ ¿Sabes cómo detectar tokens mal configurados en tus APIs antes de que alguien los robe? Aquí aprenderás a hacerlo (Capítulo 2, Minuto 7:35).✔️ Cómo el uso correcto de variables de entorno puede blindar tus sistemas ante filtraciones de datos sensibles (Capítulo 6, Minuto 3:12).✔️ Descubre por qué tu sistema de autenticación podría estar permitiendo ataques de fuerza bruta sin que lo sepas (Capítulo 2, Minuto 12:25)✔️ Los 3 errores más comunes al trabajar con APIs y cómo evitarlos con prácticas sencillas (Capítulo 7, Minuto 4:55)✔️ La importancia de documentar tus APIs y qué herramientas usar para hacerlo fácil (Capítulo 6, Minuto 2:43)✔️ Aprende a identificar vulnerabilidades de seguridad en el flujo de datos entre aplicaciones (Capítulo 8, Minuto 6:40).✔️ ¿Sabías que puedes reducir el tiempo de carga de tus aplicaciones hasta un 30% con ajustes simples en tus procesos? Aquí te enseño cómo (Capítulo 7, Minuto 3:15).✔️ Cómo monitorear el tráfico de tus APIs para detectar posibles amenazas en tiempo real (Capítulo 10, Minuto 8:12).✔️ ¿Por qué las políticas de CORS mal configuradas son un agujero de seguridad gigante? Aquí te lo explicamos (Capítulo 6, Minuto 7:20).✔️ Cómo detectar y mitigar intentos de acceso no autorizados en sistemas distribuidos (Capítulo 7, Minuto 9:45).✔️ Aprende a rastrear errores en tus pipelines de CI/CD y cómo solucionarlos rápidamente (Capítulo 9, Minuto 6:25).✔️ La diferencia entre logs bien estructurados y caos absoluto en tu monitoreo. Aprende a estructurarlos (Capítulo 10, Minuto 2:18).✔️ Qué métricas de monitoreo son las más importantes para detectar problemas antes de que escalen (Capítulo 10, Minuto 3:42).✔️ Descubre cómo integrar herramientas de análisis de código con tus pipelines para aumentar la calidad de tus despliegues (Capítulo 9, Minuto 7:33). ✔️ Evita problemas legales: te enseño qué datos personales no debes almacenar ni procesar (Capítulo 5, Minuto 11:15)<h3 id="df6b2343-41ff-40fc-9988-ae245b89c36e" data-toc-id="df6b2343-41ff-40fc-9988-ae245b89c36e" style="font-size: 20px; font-weight: 600; line-height: 1.2;">ADEMÁS, TAMBIÉN TE VOY A CONTAR ALGO QUE POCA GENTE EXPLICA PARA LA APIS</h3>En el minuto 2:50 del módulo 9 te explico el concepto de SBOM (Software Bill of Materials) y por qué es esencial para las APIs.<h1 id="db08940e-265f-4c7e-89a4-6ae672f4d330" data-toc-id="db08940e-265f-4c7e-89a4-6ae672f4d330" style="font-size: 32px; font-weight: 600; line-height: 1.2;">¿Cuánto dura?</h1>El curso dura 1 hora 37 minutos y 37 segundos.No necesito más.<h1 id="3f37dadd-5fdf-4355-b335-19d083375e14" data-toc-id="3f37dadd-5fdf-4355-b335-19d083375e14" style="font-size: 32px; font-weight: 600; line-height: 1.2;">¿Cuándo podré disfrutar de todo este conocimiento?</h1>En cuanto la compras, es tuya para siempre.<h1 id="1be59d59-9ae9-41c6-915c-82a72ccae729" data-toc-id="1be59d59-9ae9-41c6-915c-82a72ccae729" style="font-size: 32px; font-weight: 600; line-height: 1.2;">¿Qué incluye?</h1>Incluye todo lo que necesitas para crear y usar la checklist de seguridad en APIs REST.• Cómo diseñar una lista de comprobación completa y efectiva, adaptada a los problemas reales que enfrentan las APIs.• Las mejores prácticas para proteger tus tokens con OAuth2 y evitar filtraciones.• Técnicas avanzadas para detectar configuraciones peligrosas en la autenticación y minimizar riesgos.• Ejemplos claros y pasos detallados para implementar controles de seguridad en cada etapa de desarrollo.• Estrategias para integrar tu checklist en pipelines de CI/CD y automatizar las comprobaciones de seguridad.Aprenderás a anticiparte a los errores más comunes que ponen en riesgo tus sistemas, desde la gestión incorrecta de JWT hasta configuraciones peligrosas de CORS.Todo explicado de forma clara, con ejemplos prácticos y ejercicios que puedes aplicar desde el minuto uno.Esta checklist es tu plan para garantizar que tus APIs sean tan sólidas y seguras. Es tu plan para dormir tranquilo.

En este curso explicaremos punto por punto la Security CheckList más completa para APIs REST

Course content

102 - API Security Checklist

Dani Garcia

This course includes