Autenticación de APIs, claves y tokens

Un JWT (RFC 7519) es un conjunto de afirmaciones llamadas claims. Las registradas más usadas son iss (quién lo emitió), sub (de quién es), aud (para qué API fue emitido), iat (cuándo se emitió) y exp (cuándo deja de valer). En el formato habitual el token va firmado, no cifrado: cualquiera que lo tenga puede leer su contenido, y lo que la firma impide es alterarlo sin que el servidor lo note.

La revisión no intenta fabricar tokens. Comprueba, con las cuentas de prueba, que el servidor aplica lo que el token declara: que rechaza los vencidos, que rechaza los emitidos para otra audiencia y que el alcance (scope) es el mínimo necesario. Una clave de API, en cambio, identifica a la aplicación que llama, no a una persona, y no caduca sola: hay que revisar quién la tiene, dónde viaja y cuándo se rotó.

La política de Tamarindo fija una vida máxima de 15 minutos para un token de acceso. Un token de vida larga convierte cualquier filtración (un registro, una copia de seguridad del teléfono, un proxy) en acceso prolongado, y la revocación casi nunca es inmediata. Se mide restando la fecha de emisión a la de vencimiento.

Consulta politica_de_tokens y tokens_de_prueba, y encuentra el token que excede la política.

Para el informe, la cifra es lo que pesa: «vive demasiado» es opinión y «vive tantos días frente a 15 minutos» es un hallazgo. Calcula la vida del token que excede la política contando los días entre su emisión y su vencimiento.

La audiencia (aud) indica para qué API se emitió el token. Si el servidor de envíos acepta un token emitido para la API de pagos, la audiencia no se está validando: cualquier token válido de cualquier API del cliente sirve en todas, y un permiso pensado para un lugar abre otro. Se verifica presentando el token de una API a otra que esté dentro del alcance, una vez, con la cuenta de prueba.

La tabla pruebas_de_audiencia recoge esas presentaciones y compara lo esperado con lo obtenido.

Las claves de API de los socios no caducan solas. La política de Tamarindo pide rotarlas cada 180 días y prohíbe ponerlas en la URL. El inventario de claves recoge dónde viaja cada una, cuándo se emitió y cuándo se rotó por última vez. Una clave en la dirección y sin rotación acumula dos problemas: queda escrita en registros de terceros y nadie la ha cambiado desde que existe.