El OWASP API Security Top 10 (Edición 2023) refleja la madurez de las amenazas contra interfaces modernas y continúa siendo el estándar del sector para clasificar riesgos en API en 2026. A diferencia de las aplicaciones web tradicionales, las API exponen la lógica de negocio y los endpoints de datos directamente, requiriendo una estrategia de defensa en capas que priorice el desempeño y la seguridad distribuida.
En esta guía actualizada con insights y técnicas, detallamos cada riesgo y cómo mitigarlos.
API1:2023 — Broken Object Level Authorization (BOLA)
Qué es: Fallo al verificar si el usuario autenticado tiene permiso para acceder a un objeto específico vía ID.
- Ejemplo de Ataque: Un usuario cambia el ID en la URL de
/api/v1/orders/1001a/1002y accede a datos de terceros. - Mitigación Técnica: 1. Usa UUIDs (Universally Unique Identifiers) o IDs no predecibles en lugar de números secuenciales. 2. Implementa verificaciones de propiedad (ownership) en cada solicitud en el backend.
- Global Infrastructure: Usa computación serverless para validar si el
sub(subject) del token JWT coincide con el propietario del recurso solicitado antes de que la solicitud llegue al data center.
API2:2023 — Broken Authentication
Qué es: Implementaciones de autenticación que permiten el compromiso de tokens o explotación de credenciales.
- Mitigación: Implementa OAuth2/OIDC con tokens de corta duración y rotación de refresh tokens.
- En Plataforma de Computación Distribuida: Realiza la verificación de firma JWT y gestión de blacklists de tokens en el edge, garantizando baja latencia y alto desempeño.
API3:2023 — Broken Object Property Level Authorization
Qué es: Esta categoría unifica el antiguo Mass Assignment y la Excessive Data Exposure. Ocurre cuando el API permite leer o alterar propiedades sensibles de un objeto (ej: isAdmin, balance).
- Mitigación: Usa DTOs (Data Transfer Objects) y aplica una allow-list estricta de campos.
- Uso de WAAP: Configura el Web Application Firewall para realizar validación de JSON Schema, bloqueando automáticamente payloads que contengan propiedades no documentadas o sensibles.
API4:2023 — Unrestricted Resource Consumption
Qué es: Falta de límites para consumo de CPU, memoria o ancho de banda.
- Mitigación: Define límites de tamaño de payload y timeouts estrictos.
- En Global Infrastructure: Aplica Rate Limiting granular y Throttling por IP o API Key para proteger el data center contra picos abusivos.
API5:2023 — Broken Function Level Authorization
Qué es: Fallo al restringir funciones administrativas (ej: /admin/v1/users) a perfiles privilegiados.
- Mitigación: Implementa RBAC (Role-Based Access Control) riguroso en todos los endpoints.
- Edge Nodes: Bloquea el acceso a rutas administrativas por defecto en Global Infrastructure, permitiéndolas solo bajo condiciones específicas de red y autenticación.
API6:2023 — Unrestricted Access to Sensitive Business Flows
Qué es: Abuso de la lógica de negocio, como bots realizando scalping de entradas o fraude de cupones.
- Mitigación: Implementa límites de frecuencia basados en procesos de negocio, no solo en tráfico técnico.
- Gestión de Bots: Usa análisis comportamental y fingerprinting para distinguir entre humanos y automatizaciones maliciosas en tiempo real.
API7:2023 — Server Side Request Forgery (SSRF)
Qué es: Ocurre cuando el API recibe una URL e intenta acceder a ella sin validación, potencialmente exponiendo servicios internos del data center.
- Mitigación: No proceses respuestas de URLs proporcionadas por usuarios y mantén una allow-list de dominios permitidos.
- WAAP: Bloquea solicitudes con parámetros que apunten a direcciones IP internas (RFC1918), metadatos de proveedores de nube o direcciones de loopback.
API8:2023 — Security Misconfiguration
Qué es: Configuraciones inseguras de TLS, headers ausentes o mensajes de error verbosos.
- Mitigación: Usa TLS 1.3 y sanitiza respuestas de error en el entorno de producción.
- Sanitización: Usa Global Infrastructure para estandarizar headers de seguridad y remover información sensible de infraestructura en las respuestas (como
X-Powered-By).
API9:2023 — Improper Inventory Management
Qué es: Falta de gobernanza sobre Shadow API y versiones legadas (zombies).
- Mitigación: Usa herramientas de API Discovery para mapear el tráfico en tiempo real en Global Infrastructure e identificar endpoints no documentados.
API10:2023 — Unsafe Consumption of APIs
Qué es: Confiar en datos de API de terceros sin validación rigurosa.
- Mitigación: Trata toda integración externa como tráfico no confiable. Aplica validación de esquema, sanitización y límites de cuota en todos los datos de socios externos.
Tabla de Defensa en Capas (OWASP 2023)
| Riesgo | Mitigación en Backend | Defensa en Global Infrastructure |
|---|---|---|
| BOLA | UUIDs y Owner Checks | JWT Claims Validation |
| Property Auth | DTOs y Whitelists | JSON Schema Enforcement (WAF) |
| SSRF | Domain Whitelisting | IP/Metadata Blocklisting |
| Bots | Business Logic Throttling | Behavioral Analysis (Bot Manager) |
Conclusión
Mitigar el OWASP API Security Top 10 en 2026 requiere una visión que une seguridad y desempeño. Al mover la inteligencia de detección y el bloqueo de amenazas a la Plataforma de Computación Distribuida, las organizaciones reducen la carga en el origen y garantizan que solo el tráfico legítimo y validado llegue a su aplicación.
Próximos Pasos:
- Consulta nuestro Checklist de API Security para implementación.
- Explora las mejores prácticas de API Security para defensa en capas.
- Compara las superficies de ataque en REST vs. GraphQL.
- Conoce las Soluciones WAAP de Azion.