APIs de socios y cuotas

Una API de socios identifica a cada cliente con una llave. Eso resuelve una pregunta (quién llama), pero no las otras dos: qué puede hacer y cuánto puede pedir. El alcance limita las operaciones (solo lectura, o lectura y escritura) y la cuota limita el ritmo. La cuota protege tres cosas a la vez: que un cliente con un error de programación no tumbe el servicio para los demás, que alguien no extraiga todo el catálogo de envíos a base de repetir llamadas y que el costo de la infraestructura no se dispare.

El marco OWASP API Security Top 10, en su edición de 2023, recoge el problema de la cuota como «Unrestricted Resource Consumption» (API4:2023) y el de ver datos ajenos como «Broken Object Level Authorization» (API1:2023). Son nombres para dos preguntas que se hacen al leer un registro: ¿se limita el consumo? y ¿se comprueba que el objeto pedido pertenece a quien lo pide?

El registro de la API tiene dos columnas que hay que mirar juntas: «cliente» (quién llamó) y «dueno_del_objeto» (a quién pertenece el envío que se consultó). Si son distintas y la API respondió 200, la API entregó datos de un cliente a otro. Un 403 en la misma situación es lo contrario: la API hizo bien su trabajo y rechazó la petición, y eso es lo que se espera.

Una cuota solo existe si la pasarela bloquea lo que la excede. La tabla uso_por_minuto trae, para cada cliente y cada minuto, la cuota, las solicitudes recibidas y las bloqueadas. Si las solicitudes superan la cuota y el número de bloqueadas es cero, la cuota no se aplicó. Fíjate también en el caso contrario: un cliente que superó su cuota y tiene bloqueadas es un control funcionando, no un hallazgo.

Medir el exceso sirve para decidir la urgencia: unas pocas solicitudes por encima de la cuota es ruido; varias veces la cuota sin ningún bloqueo es una señal de que el límite no existe o de que alguien está extrayendo datos. En esa misma consulta ya tienes las dos cifras que necesitas. Resta la cuota de las solicitudes de ese minuto.

Cada llave activa es una puerta. Una que lleva semanas sin usarse suele ser de una integración que se abandonó, de un socio con el que ya no se trabaja o de una prueba que se quedó, y nadie la vigila porque no genera tráfico: si alguien la roba, nadie nota la diferencia. La práctica es sencilla: fijar un plazo sin uso (aquí, treinta días a la fecha del informe, el 7 de octubre de 2026), preguntar al socio si la necesita y revocarla si no responde.