Inventario y versiones olvidadas

La gestión inadecuada del inventario (API9:2023 en la lista OWASP API Security Top 10 de 2023) cubre dos casos: las versiones antiguas que siguen respondiendo después de retiradas (a veces llamadas zombi) y las APIs en la sombra, que alguien publicó sin registrarlas. Las dos comparten el mismo problema: nadie las vigila ni las parcha, pero siguen alcanzables.

La forma de encontrarlas es cruzar lo que se declara (inventario, portal, contratos) con lo que se enruta (gateway) y con lo que recibe tráfico.

El inventario oficial lista APIs por nombre y versión. El gateway enruta por prefijo de ruta: /v3/pedidos corresponde a la API pedidos versión v3. Una ruta del gateway que no corresponde a ninguna fila del inventario es un hallazgo; la que además recibe tráfico real es la urgente, porque tiene usuarios.

Cruza las dos tablas y busca, entre las rutas no inventariadas, la que más llamadas recibe.

Contar es el primer paso para dimensionar el trabajo: una ruta sin inventario puede ser un descuido; cuatro apuntan a un proceso que no funciona. Aquí el inventario es una lista corta y el gateway una tabla de ocho filas; en una empresa grande el cruce se automatiza, pero la lógica es la misma.

Una API sin dueño no recibe parches ni tiene a quién llamar cuando falla. Para decidir qué hacer con una ruta olvidada hay que saber qué servicio la atiende y quién lo mantiene. El gateway indica el servicio de destino; la tabla de dueños indica el equipo.

El portal dice que la versión se retiró en 2024, pero el gateway sigue enrutándola y dos consumidores la llaman. Apagarla de golpe rompería integraciones reales; dejarla viva mantiene una superficie sin vigilancia. El camino sensato es identificar a los consumidores, avisarles con una fecha de retirada, mover el tráfico y solo entonces apagar.