La superficie de una API y el Top 10 de OWASP

En una aplicación móvil, la pantalla muestra solo algunos datos y ofrece solo algunos botones. Pero la aplicación es un cliente más: la API recibe las peticiones y devuelve lo que su código le dicte, sin importar qué dibuje la pantalla. Quien tiene una cuenta puede pedir directamente cualquier operación de la API, no solo las que la pantalla enlaza. Por eso la autorización se decide en el servidor, en cada operación; esconder un botón o un campo en la aplicación no protege nada.

Esto cambia lo que se revisa: no se evalúa la pantalla, se evalúa lo que el servidor acepta y lo que devuelve.

OWASP mantiene un Top 10 específico de APIs; la edición vigente es la de 2023. Sus diez entradas son: API1 autorización a nivel de objeto rota, API2 autenticación rota, API3 autorización a nivel de propiedad de objeto rota, API4 consumo de recursos sin restricciones, API5 autorización a nivel de función rota, API6 acceso sin restricciones a flujos de negocio sensibles, API7 falsificación de peticiones del lado del servidor, API8 configuración de seguridad incorrecta, API9 gestión inadecuada del inventario y API10 consumo inseguro de APIs.

No es una lista para memorizar sino un vocabulario para nombrar el hallazgo con precisión. Si cambiar un identificador en la petición entrega datos de otra persona, el fallo es de autorización sobre el objeto (API1), no de autenticación: el servidor sabe quién eres, lo que no comprueba es si ese objeto es tuyo.

La entrada API9 habla de inventario: versiones viejas que siguen vivas, operaciones de depuración o de exportación que nadie documentó, entornos de pruebas abiertos. Se detecta cruzando dos fuentes que no dependen entre sí: lo que la empresa publica y lo que el gateway realmente registra.

Con la consola de consultas compara catalogo_del_portal y trafico_del_gateway. Busca una operación que recibe peticiones y no aparece en el catálogo, ni siquiera como retirada.

Un inventario sin cifras no convence a quien decide. Una operación retirada que sigue respondiendo es una superficie que nadie mantiene ni parchea, y una sin catalogar es una que nadie vigila. Para el informe conviene medir cuánto tráfico real pasa por ambas, no solo decir que existen.

Suma las peticiones de los últimos 7 días de las operaciones que están retiradas en el catálogo y de las que no figuran en él.