Consumir APIs de terceros como entrada no confiable

El Top 10 de seguridad de APIs de OWASP, en su edición de 2023, dedica su décimo riesgo al consumo inseguro de APIs: los equipos suelen confiar más en lo que devuelve un tercero que en lo que escribe un usuario, y le aplican controles más flojos. Quien quiera llegar a la aplicación ya no necesita atacarla de frente; le basta con lo que entra por la integración, sea porque el proveedor fue comprometido, porque su dominio cambió de manos o porque alguien se metió en medio de la conexión.

La regla que se desprende es corta: la respuesta de un proveedor es entrada externa. Se recibe por un canal verificado, con tiempo de espera y tamaño máximo, se valida contra lo que el proveedor promete y se codifica al mostrarla, igual que si la hubiera escrito un desconocido.

Abre el laboratorio y lee cliente_ubicalo.py junto a cliente_textea.py. El segundo sirve de contraste: es lo que el primero debería parecer. Fíjate primero en cómo se abre la conexión. Si el cliente no comprueba el certificado del proveedor, cualquiera que se ponga en medio puede responder en su nombre, y además se lleva la clave de API que viaja en cada pedido.

La librería que usa el cliente sigue redirecciones si se lo permiten, y este cliente lo permite. El contrato de Ubícalo dice algo muy concreto sobre redirecciones y sobre su dominio. Lee contrato-ubicalo.txt y busca en integraciones.log a dónde terminó yendo el cliente. Una redirección seguida a ciegas lleva la petición, y lo que la acompaña, a un servidor que nadie evaluó.

El contrato fija un tamaño máximo de respuesta, y el cliente no lo comprueba. Recorre integraciones.log y cuenta las respuestas que el cliente de Ubícalo procesó con un tamaño mayor que el del contrato. Las del otro proveedor no cuentan, tampoco la que no llegó a responder, y sí cuenta la que vino del host al que se siguió la redirección, porque también la procesó el cliente de Ubícalo.

tarjeta_entrega.py escapa lo que escribe el cliente final y no escapa lo que viene de Ubícalo, «porque ya viene limpio». El registro muestra una respuesta con etiquetas HTML en un campo que el contrato declara sin marcado, y esa respuesta se procesó. El tiempo de espera ausente explica, de paso, los minutos que notificaciones se quedó colgado esperando una respuesta que nunca llegó.