Autenticación en el cliente, claves, tokens y secretos

La autenticación se configura una vez en la colección y cada carpeta o petición puede heredarla, sustituirla con la suya o declarar que no lleva ninguna. Heredar es lo cómodo y lo habitual. Pero «sin autenticación» en una petición es una decisión explícita, no un olvido, y una petición que debía heredar y quedó sin nada produce respuestas que parecen un fallo del servidor cuando son un error de configuración de la colección.

Por eso, al leer una colección, la pregunta no es solo qué credencial usa cada petición, sino si lo configurado coincide con lo que el servidor espera de esa operación.

Una clave de API puede viajar en una cabecera o en la dirección. En la dirección queda escrita en los registros de los servidores y de los intermediarios, en el historial y en cualquier captura de pantalla de la petición. Por eso las guías de seguridad de APIs piden no ponerlas allí. En una colección se ve en la pestaña de autenticación de la petición, que dice dónde se añade la clave.

Abre autenticacion_por_peticion y busca la petición cuya credencial viaja en la dirección.

Las variables tienen un valor local, que se queda en tu máquina, y un valor compartido, que viaja con el archivo exportado y con la nube del equipo si la hay. Una variable marcada como secreta no debería llevar nada en el valor compartido. Si lo lleva, quien reciba la exportación recibe la credencial.

Compara las dos columnas de variables_exportadas. Encuentra la variable secreta cuyo valor compartido no está vacío.

La cifra para el informe: cuántas de las peticiones usan el token de la colección. Las que no lo usan o son públicas por decisión, o llevan otra credencial. Contar las que sí lo heredan te dice cuántas dependen de que la cuenta activa sea la correcta.

Para comprobar que una cuenta no ve los objetos de otra hacen falta al menos dos cuentas de prueba, y el cliente de APIs lo resuelve con un entorno por cuenta: todos definen el mismo nombre de variable para el token, y cambiar de entorno cambia de identidad sin tocar ninguna petición. Ese es el uso correcto de los entornos en una evaluación de autorización.

Lo que sale del archivo exportado al final es lo que hay que cuidar: entregar la colección al cliente con los valores de las cuentas es entregar sus credenciales.