Preparar una integración para una revisión de seguridad

Dibujar los dos extremos

Una integración mueve información entre sistemas con responsabilidades distintas. Identificá quién inicia cada intercambio, cómo se autentica y qué operaciones puede provocar. Separá solicitudes salientes, respuestas, notificaciones entrantes y tareas diferidas.

El diagrama no necesita ser complejo. Puede mostrar aplicación propia, proveedor y datos intercambiados. Lo importante es conservar dónde cambia el origen de la información y qué control decide cómo utilizarla.

Preparar identidades y permisos

Registrá qué identidad usa cada extremo y cómo se relaciona con una organización o cuenta del producto. Una credencial de integración puede tener permisos diferentes de los usuarios interactivos. El alcance debe identificar esas diferencias.

Definí cómo se emiten, renuevan y revocan los accesos. Para evaluar, prepará credenciales de prueba con la autorización correspondiente y un canal de intercambio adecuado. No las compartas en la consulta comercial.

Acordar los estados del recorrido

Una notificación puede llegar tarde, repetirse o aparecer después de una cancelación. El producto necesita decidir qué transiciones permite y cómo interpreta cada evento. El contenido recibido debe relacionarse con un recurso y un estado conocido.

En un ejemplo ficticio, un proveedor informa que un documento fue procesado. La aplicación propia debe determinar a qué organización pertenece, si esperaba esa operación y qué cambia cuando el mismo evento se recibe otra vez. El ejemplo se puede revisar con datos sintéticos.

Documentar los errores y las restricciones

Anotá límites de consumo, reintentos, tiempos de espera y comportamiento ante respuestas incompletas. Las pruebas deben coordinarse para evitar efectos no deseados, como enviar comunicaciones reales o crear operaciones persistentes.

Si se utiliza un entorno del proveedor para pruebas, confirmá qué permite su autorización. Evaluar los controles de la aplicación propia no habilita automáticamente pruebas sobre todos los sistemas externos.

Información para la revisión

• Diagrama del intercambio y responsables de cada extremo.
• Documentación y versión de la integración.
• Identidades, permisos y datos de prueba.
• Estados válidos y transiciones esperadas.
• Tratamiento de repetición y eventos fuera de orden.
• Límites, efectos persistentes y restricciones.
• Registros disponibles sin secretos ni datos innecesarios.
• Condiciones para restaurar el entorno.

Con esa preparación se puede definir qué parte del recorrido queda incluida y qué evidencia hace falta para interpretar el resultado.

Referencias y alcance

OWASP REST Security ofrece referencias sobre controles de APIs. Consultá además la guía de autenticación de OWASP y las condiciones de tu proveedor.

La evaluación de APIs y la revisión de AppSec permiten examinar comportamientos e implementación según el alcance acordado.