Exposición de datos en respuestas

La autorización a nivel de propiedad de objeto (API3:2023 en la lista OWASP API Security Top 10 de 2023) incluye dos fallos: devolver propiedades que el usuario no debería ver y aceptar propiedades que no debería poder modificar. Aquí leemos el primero, la exposición excesiva.

El contrato declara el esquema de la respuesta. Una respuesta real con campos fuera del esquema significa que el servidor devuelve más de lo que prometió, y el contrato dejó de ser una garantía.

La empresa clasifica sus datos en niveles (público, interno, personal, confidencial, restringido). Un campo restringido en la respuesta de un servicio expuesto a clientes es un incidente en espera. Cruzar el esquema, la respuesta y la tabla de clasificación dice cuál es el más grave.

Contar las propiedades fuera del esquema es la medida concreta del desfase entre contrato y servicio. Una prueba automática puede hacer lo mismo: comparar las claves de la respuesta con las del esquema y fallar si hay alguna de más.

Los mensajes de error también son datos. Un error que devuelve el detalle de la excepción revela nombres de servidores internos, de cuentas de servicio y de la base de datos: justo lo que un atacante necesita para orientarse. La respuesta correcta a un error es un código y un mensaje genérico; el detalle va al registro interno.

La corrección no es borrar tres campos a mano en una respuesta: es cambiar la forma de construirla. Se define una representación de salida propia (un objeto de transferencia) que lista, campo a campo, lo que se publica, y se cierra el esquema para que cualquier campo no declarado sea un error de prueba. Los campos se añaden decidiendo, no por arrastre.