API Security Checklist
Formación de 98 minutos para revisar la seguridad de una API REST punto por punto con una checklist: autenticación, JWT, OAuth, entradas, respuestas y monitorización.
Con Daniel Alfocea
- de vídeo
- 98 min
- vídeos
- 11
- nivel
- intermedio
Para quién es
Construyes o revisas APIs REST y quieres una checklist de seguridad completa que aplicar punto por punto.
Sobre la formación
Los fallos no avisan a nadie. Una buena checklist sí
98 minutos de vídeo para revisar la seguridad de una API REST punto por punto.
El 31 de enero de 2017, GitLab estuvo caído unas 18 horas.
Un ingeniero borró por accidente la base de datos primaria mientras arreglaba un problema menor. Y cuando fueron a tirar de las copias de seguridad, no funcionaban como esperaban.
Nadie había probado las rutinas de recuperación.
No fue un ataque ni un genio del mal. Fue un procedimiento al que le faltaba una comprobación.
En las APIs pasa exactamente igual, y casi nadie tiene una lista de comprobación buena para su seguridad.
Quién te lo cuenta
Soy Daniel Alfocea. Llevo veinte años entre desarrollo y seguridad, y he escrito unas cuantas herramientas de auditoría (GoLismero, Plecost, Dockerscan).
Aquí recorro una checklist de seguridad para APIs REST con el terminal y las transparencias delante, y te explico qué se rompe cuando un punto se queda sin marcar.
Quiero la checklist, empiezo hoy
Lo que te llevas
Empiezas por la checklist y por qué esa, antes de tocar una sola API. Para qué sirve y cómo se usa sin que se convierta en un papel que nadie abre.
Después, la autenticación. Qué medidas pesan de verdad y cuáles se quedan en decorado.
Un vídeo entero de JWT: cómo crear tokens seguros y cómo ponérselo difícil a un atacante.
Otro con los errores más comunes de OAuth y cómo comprometen la autorización de toda la API.
También prevención de DDoS y restricciones de acceso. Hasta dónde llega lo que puedes hacer tú y qué se queda fuera de tu mano.
Luego pasas a los datos. Cómo securizar lo que entra en tu API, qué hacer con el dato una vez dentro y qué ataques te esperan por el camino, con la privacidad de por medio.
Y cómo contestar sin contar de más. Las respuestas de una API REST dicen más de lo que crees, y te enseño dónde mirar.
Al final, integración continua y monitorización: las medidas básicas de seguridad, los mitos que circulan y el peligro de la exfiltración de datos sensibles.
No te voy a adelantar aquí ningún motivo. Están todos dentro de los vídeos.
Qué cuesta
99 €, un pago, y la formación es tuya para siempre.
No es una auditoría, y una checklist no sustituye a un pentest. Es el método para que tus APIs pasen por las mismas comprobaciones, en el mismo orden, cada vez.
Si lo que buscas es aprender qué es una API, empieza por otro sitio.
Un abrazo,
Dani
P. D. Si dudas, mira primero la lección abierta. En 3 minutos sabes si te habla a ti.
Temario
Son 98 minutos de vídeo repartidos en 11 vídeos y 5 módulos. Las marcadas «Muestra» se ven sin entrar.
01Intro y presentación 2 lecciones · unos 6 min
- A quien va dirigido este curso 3:14
- La checklist de seguridad de APIs que usaremos y por qué
02Autenticación y Autorización 4 lecciones · unos 37 min
- Medidas de seguridad en al autenticación de APIs
- JWT - cómo crear tokens seguros y ponérselo difícil a un atacante
- Prevención de DDoS y restricciones de acceso
- OAuth - Errores más comunes que comprometen la autorización
03Entradas, salidas y procesamiento seguro de información 3 lecciones · unos 39 min
- Securización de entradas de usuarios en APIs REST
- Procesamiento del dato, privacidad y ataques
- Respuestas de las APIs REST sin exponer información sensible
04Integración continua y monitorización 2 lecciones · unos 16 min
- Integración continua - medidas básicas de seguridad y mitos
- La monitorización y el peligro de la exfiltración de datos sensibles
05Contenido adicional 2 lecciones
Una página con los repositorios y las URL que uso, y las transparencias de las demos.
- Repositorios y URL
- Trasparencias usadas para las demos
Lecciones de muestra
Míralas antes de pagar.
-
A quien va dirigido este curso3:14
Quién lo imparte
Daniel Alfocea
Veinte años en desarrollo y seguridad, y autor de herramientas como GoLismero, Plecost y Dockerscan.
Dudas
Qué nivel hace falta
Intermedio. Construyes o revisas APIs REST y sabes lo que es un token, un endpoint y una cabecera.
Si todavía no has tocado una API, esta formación te va a ir grande.
Qué checklist se usa
Una pública y abierta, la API Security Checklist de Shieldfy en GitHub, en su versión en español.
La lección de recursos te deja el enlace, y el de JWT.io y el de un generador de claves para JWT, para que repitas las demos tú.
Hay algo que pueda descargar
98 minutos valen 99 €
Es una checklist que vas a aplicar a tus propias APIs, y la compras una vez.
Y si no lo ves claro, la primera lección está abierta. Son 3 minutos y no pagas nada por verla.
Salgo con mis APIs blindadas
No. Una checklist no sustituye a una auditoría ni a un pentest.
Lo que te llevas es un método para revisar tus APIs en orden, sin que se te cuele lo básico.
Para quién esConstruyes o revisas APIs REST y quieres una checklist de seguridad completa que aplicar punto por punto.