API8:2023 Security Misconfiguration
Este riesgo ocurre cuando una API, su infraestructura o sus componentes quedan con configuraciones inseguras que abren puertas innecesarias. No es un “fallo de lógica” del negocio, sino una postura de seguridad debilitada por cómo se despliega y opera la API: opciones por defecto, permisos excesivos, componentes expuestos, controles desactivados o entornos mal separados.
Origen del problema
Es muy frecuente en APIs reales por razones típicas del día a día:
- Configuraciones por defecto que nunca se endurecen (hardening).
- Entornos mal aislados (dev/staging/prod) o recursos internos accesibles desde fuera.
- Exposición de paneles, documentación o servicios auxiliares que no deberían estar públicos.
- Políticas de seguridad inconsistentes entre gateway, microservicios y balanceadores.
- Cambios rápidos y despliegues constantes sin checklist de seguridad, ni revisión de configuración.
- Falta de monitoreo y alertas que detecten exposición o cambios peligrosos.
Ejemplo de escenario de ataque
Paso 1 – Contexto del sistema
Una empresa publica una API para su app móvil. En producción, además de los endpoints principales, queda accesible un componente auxiliar usado por el equipo técnico para diagnosticar problemas.
Paso 2 – Acción general del atacante
Un atacante encuentra ese componente expuesto y lo utiliza para obtener información sobre el sistema o para interactuar con funciones que no estaban pensadas para el público.
Paso 3 – Resultado o impacto
El atacante obtiene detalles internos que facilitan ataques posteriores o provoca cambios/efectos no deseados en el servicio. La seguridad cae no por “hackeo avanzado”, sino por una mala configuración.
Impacto real si no se gestiona
- Exposición de información sensible (detalles internos, rutas, componentes, metadatos).
- Ampliación de la superficie de ataque al dejar servicios innecesarios disponibles.
- Incidentes por accesos no previstos a funciones auxiliares o administrativas.
- Aumento de riesgo de compromisos mayores por encadenamiento de fallas.
- Pérdida de confianza y costos de remediación por fallas operativas evitables.
Conclusión
La mayoría de incidentes por configuración no ocurren por falta de herramientas, sino por falta de disciplina. Un ajuste “temporal” que nunca se corrigió o un componente expuesto “por conveniencia” es suficiente para abrir el sistema sin necesidad de ataques sofisticados.
¿Quieres profundizar en el OWASP API Top 10:2023?
Domina los 10 riesgos más críticos de las APIs de forma práctica con mi curso OWASP API Top 10:2023, actualizado a la última versión.
Nos vemos en la siguiente entrada
Fernando Conislla
