Autenticación entre servicios

Con mTLS, cada servicio presenta un certificado propio y el que recibe sabe exactamente cuál lo llamó. Con una clave compartida, todos los servicios que la tienen son indistinguibles: quien la copie desde cualquiera de ellos puede hacerse pasar por todos, y un registro de «llamó alguien con la clave» no dice quién fue.

Esa diferencia importa para tres cosas: limitar lo que cada servicio puede pedir, investigar un incidente y rotar la credencial de uno sin tocar a los demás.

Cuantos más servicios guardan el mismo valor, más lugares tiene que cuidar el equipo y más caro es rotarlo: cambiarlo exige coordinar un despliegue simultáneo en todos. La clave de esta tienda es un marcador ficticio, pero la situación es la habitual en una división a medias.

Abre config/clave-interna.txt y cuenta los servicios donde aparece la variable con valor.

Que un servicio acepte llamadas sin autenticar es aceptable cuando solo ofrece información pública. Deja de serlo cuando maneja datos de personas: cualquier cosa que alcance la red interna, desde otro servicio comprometido hasta un equipo de desarrollo conectado, puede pedirle lo que quiera.

Abre mallas/politica-autenticacion.csv y cruza las dos últimas columnas.

Cuando un servicio llama a otro en nombre de una persona, debe propagar su identidad de forma que el receptor pueda verificarla: un token firmado que valida con la clave pública del emisor. Si en su lugar el receptor lee un dato en claro de una cabecera, quien pueda hablarle a ese servicio por la red puede escribir lo que quiera en ella y comprar a nombre de otra persona. Es la misma familia de fallos que OWASP recoge como autenticación rota (API2:2023) y que se agrava entre servicios porque «solo nos llaman los nuestros» es una suposición, no un control.

Abre trazas/peticion-recibida-por-pedidos.txt y lee la nota de la revisión de código.

El mTLS cambia la clave compartida por un problema distinto: la caducidad. Un certificado vencido corta la comunicación entre dos servicios sin aviso, a menudo en un fin de semana. La rotación automática lo evita; la manual depende de que alguien se acuerde. El archivo de certificados dice cuándo vence cada uno y cómo se renueva.