Las API REST y la seguridad de aplicaciones

Name: Las API REST y la seguridad de aplicaciones
Author: Josh Guardino

Aprenda a proteger y proteger las APIs REST

Preview the first lesson free — get full access to all 3 lessons.

Curso: bajo demanda

Hola, mi nombre es Josh Guardino y en estas lecciones, aprenderá sobre la seguridad de la API REST. Comencemos explorando las claves API y gestión de acceso. Hay varias formas de asegurar una API REST. Aunque algunas API REST están abiertas y puede ser accedido por cualquier persona, la gran mayoría de las API REST tener algún tipo de seguridad para gobernar la autenticación y posiblemente la autorización para clientes de la API. Un patrón popular es usar claves API. Una clave API es simplemente una ID de sistema generada aleatoriamente con una contraseña correspondiente pero la ID se llama clave API y la contraseña normalmente se llama un secreto. Los proveedores de API que admitan claves de API proporcionarán un mecanismo por el cual alguien puede solicitar una clave API. Este formulario de solicitud podría estar disponible al público en general a través de algo como data.gov, la cámara de compensación de datos del gobierno de EE. UU. pero a menudo para servicios pagados, Las claves API solo se pueden solicitar por clientes registrados y de pago. Los formularios de registro de clave API brindan una gran oportunidad para recopilar una variedad de información sobre cómo se usará la clave, como contactar a los dueños de la llave y cualquier otro tipo de información de registro que se considere necesario por los propietarios de la API. Como ejemplo, echemos un vistazo a la muy popular API de Spotify para desarrolladores. Después de haber registrado una cuenta, Puedo crear una aplicación que sería un cliente de la API y esta aplicación recibe automáticamente una identificación de cliente o clave API y un secreto de cliente, que es como una contraseña. Muchas veces, cuando las claves API se asignan por primera vez, el secreto solo se muestra una vez. Si el secreto se pierde, la clave tendrá que ser regenerada. Sin embargo, Spotify permite la rotación del secreto. sin tener que cambiar el ID de cliente o la clave API. Con la clave API, un cliente de la API de Spotify puede crear una solicitud para recibir un token de acceso a través de un proceso llamado OAuth. En el Departamento de Vehículos Motorizados API, He agregado una verificación de autenticación a todos los puntos finales de la API que espera una clave API y un secreto para ser pasado en los encabezados de solicitud. Y es estándar usar la clave x-api y nombres de encabezado secretos para almacenar estos valores. Al punto final de la publicación v1/drivers, agreguemos encabezados x-api-key y x-api-secret y los estableceremos a ambos en un valor de prueba lo que debería hacer que la solicitud falle en la autorización porque test y test no son una clave válida y un par secreto y se devuelve un código de estado no autorizado 401. También he creado una matriz JSON en la aplicación. con varias claves y secretos generados aleatoriamente. Y como puedes ver, cada clave y secreto también tiene una dirección de correo electrónico de usuario y otros campos importantes normalmente se mantendrían junto con la clave y el secreto, como el nombre del cliente y tal vez una descripción del uso previsto del cliente de la API. Pero aquí un simple correo electrónico de usuario nos permitirá para rastrear la clave hasta un cliente específico. Seleccionemos una de las teclas. y regrese a nuestro punto final de publicación de v1/drivers y agréguelo como un encabezado x-api-key. Y seleccionemos un secreto y agréguelo como el encabezado x-api-secret. Tengo x-api-key en minúsculas y x-api-secret en mayúsculas solo para demostrar que el caso es ignorado, así que ambos funcionarán bien. Y ahora, cuando ejecutamos esta solicitud, la autorización tiene éxito y se devuelve un 201. Una nota final sobre la clave. y el secreto en los encabezados. Esta es la forma preferida de enviar la clave. y secreto para el servidor porque agregarlos a la URL como los parámetros de consulta los harían para mostrarse en texto sin formato en los registros de acceso al servidor que enumeran las URL completas de las solicitudes entrantes. Y colocando los valores en el cuerpo de la solicitud funcionaría para solicitudes posteriores pero obtener solicitudes, por ejemplo, no tienen cuerpos. Por lo tanto, sería necesario utilizar un mecanismo alternativo. para obtener solicitudes causando una inconsistencia en la forma en el que los parámetros de autenticación se envían al servidor. Así que los encabezados son un seguro y lugar estandarizado donde se puede pasar este tipo de información. Gracias por ver. Estén atentos para la próxima lección donde te mostraré cómo usar el protocolo OAuth para la seguridad de la API REST.

Principiante Proveedor : Josh Guardino 3 lecciones · 15m en Árabe, Alemán, Inglés, Español, Francés, Portugués, Chinese

Descripción del curso

La seguridad nunca debe ser una idea de último momento, sobre todo cuando se trata de los recursos de red; y las APIsREST no son una excepción. Esto implica algo más que proteger la información: es un enfoque integral que también implica gestionar los clientes y proteger laestabilidad de un servicio API.

El uso de claves y secretos de API es un patrón muy común que otorga capacidades de autenticación de tipo usuario/contraseña a los clientes registrados. En estas lecciones aprenderá cómo se generan y se envían las claves y los secretos a los servicios de API RESTful para obtener acceso, así como los códigos de estado HTTP de la serie 400 que se producen cuando no se reconocen las claves y los secretos.

El protocolo OAuth se ha convertido en el mecanismo estándar para la autorización de clientes API y aprenderá lascaracterísticas de OAuth y cómo las solicitudes de autenticación básicas pueden dar como resultado tokens de acceso al portador que se pueden aplicar a muchos niveles de ámbitos. También aprenderá la importancia de la limitación de velocidad y por qué es esencial que las APIs REST rastreen y restrinjan el tráfico de entrada. La limitación de velocidad es necesaria para mantenerse dentro de los límites de capacidad y también para desviar los ataques DDoS, que buscan deshabilitar los servicios enviando cantidades masivas de tráfico.

Lo que aprenderás

Identificar los mecanismos de seguridad comunes utilizados para proteger las API REST
Generar y utilizar claves API y secretos para acceder a API protegidas
Emitir solicitudes de autorización OAuth para acceso con alcance a las API
Aplicar tokens de acceso portador obtenidos de solicitudes de autenticación básica
Interpretar los códigos de estado HTTP de la serie 400 devueltos cuando las claves y secretos no se reconocen
Implementar limitación de velocidad para rastrear y restringir el tráfico de API entrante

Puntos clave

La seguridad de API es un enfoque integral que implica proteger información, gestionar clientes y proteger la estabilidad de un servicio de API.
Las claves API y los secretos otorgan capacidades de autenticación de tipo usuario/contraseña a clientes registrados que acceden a servicios de API RESTful.
OAuth se ha convertido en el mecanismo estándar para la autorización de clientes de API, donde las solicitudes de autenticación básica pueden resultar en tokens de acceso portador aplicados a muchos niveles de alcances.
La limitación de velocidad es esencial para que las API REST se mantengan dentro de los límites de capacidad y para desviar ataques DDoS que envían cantidades masivas de tráfico para desactivar servicios.
Las claves y secretos no reconocidos resultan en códigos de estado HTTP de la serie 400.

Preguntas frecuentes

¿Qué cubre este curso?

Cubre la seguridad de las API REST, incluido cómo se generan y envían claves API y secretos para obtener acceso, los conceptos básicos de la autorización OAuth y los tokens de acceso portador, y la importancia de la limitación de velocidad para controlar el tráfico y desviar ataques DDoS.

¿Qué podré hacer después de tomar este curso?

Podrás identificar los mecanismos de seguridad comunes utilizados para las API REST, usar claves y secretos para acceder a API protegidas, y emitir solicitudes de autorización OAuth para acceso con alcance a las API.

¿Qué lecciones se incluyen?

El curso incluye tres lecciones: Claves API y Gestión de Acceso; Uso de OAuth para Autenticación; y Uso de Limitación de Velocidad para Controlar el Tráfico.

¿Qué habilidades ayuda a desarrollar este curso?

Desarrolla habilidades en Diseño de API, Gestión de API, Pruebas de API, Interfaz de Programación de Aplicaciones (API), Desarrollo de API REST y API RESTful.

¿Por qué es importante la limitación de velocidad para las API REST?

La limitación de velocidad es necesaria para mantenerse dentro de los límites de capacidad y para desviar ataques DDoS, que buscan desactivar servicios enviando cantidades masivas de tráfico.