Laboratorio de autenticación de APIs y servicios
Elige la autenticación de máquina adecuada y detecta credenciales filtradas o mal gestionadas en una cola de unos 24 escenarios entre servicios.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Que dos servicios hablen entre sí es donde empiezan la mayoría de las brechas reales: el mecanismo de autenticación equivocado o un secreto olvidado en un sitio por donde se filtra. Trabajas una cola de unos 24 escenarios de servicio a servicio y tomas la decisión. En una tarjeta de mecanismo eliges entre una clave de API, client credentials de OAuth 2.0, TLS mutuo e identidad de carga de trabajo (SPIFFE, IRSA, identidad administrada), guiado por la restricción que decide. En una tarjeta de manejo señalas la credencial mal gestionada (una clave subida a un repositorio, en una URL, en el bundle del cliente, en los logs, de larga duración, compartida entre servicios o con demasiados permisos) o la das por buena. Se te puntúa por los aciertos frente a los falsos positivos: señalar una credencial bien gestionada (una clave publicable pk_*, la firma de una URL prefirmada, una clave administrada que rota sola) lleva una penalización extra, porque una revisión que da falsas alarmas es tan inútil como una que pasa por alto una filtración real. Los niveles de dificultad añaden trampas de límites de confianza, como un certificado de la malla que no significa nada al otro lado del límite con un socio. Funciona íntegramente en el lado del cliente y de forma determinista: no se sube nada, no se analiza ninguna credencial real y todas las claves y tokens de ejemplo son marcadores evidentemente falsos. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- En las tarjetas de mecanismo, identifica la restricción que decide y elige clave de API, client credentials de OAuth 2.0, TLS mutuo o identidad de carga de trabajo.
- En las tarjetas de manejo, señala el defecto de la credencial o dala por buena.
- Evita los falsos positivos: una clave publicable o una URL prefirmada no son un hallazgo.
- Revisa tu tasa de aciertos y la explicación de cada escenario.
Preguntas frecuentes
¿Qué es el laboratorio de autenticación de APIs y servicios?
Un ejercicio en el navegador en el que trabajas una cola de escenarios de autenticación de servicio a servicio. En una tarjeta de mecanismo eliges la autenticación de máquina adecuada para la situación (una clave de API, el grant client credentials de OAuth 2.0, TLS mutuo o identidad de carga de trabajo: SPIFFE/SVID, AWS IRSA, identidad administrada de Azure o GCP) según la restricción que decide. En una tarjeta de manejo valoras cómo se almacena y transmite una credencial y señalas el defecto: subida a un repositorio, pasada en una URL, incluida en el código del cliente, escrita en los logs, de larga duración sin rotación, compartida entre servicios o con demasiados permisos; o la das por buena.
¿Cómo se puntúa?
Cada escenario tiene una respuesta correcta. Tu puntuación es la proporción que aciertas, con el mismo peso para las tarjetas de mecanismo y de manejo. Los falsos positivos (señalar una credencial que en realidad está bien gestionada) llevan una penalización extra de higiene, porque una revisión en la que nadie puede confiar es tan inútil como una que pasa por alto una filtración real. Una partida perfecta acierta todos los escenarios, incluidos los limpios.
¿Qué mecanismo es «el mejor»?
No hay un único mejor: el mecanismo correcto depende de la restricción. Si la contraparte solo emite claves de API, una clave de API (guardada en un gestor de secretos, acotada y rotada) es lo correcto y OAuth es sobreingeniería. Para llamadas de aplicación a API propias y de socios, client credentials de OAuth 2.0 da tokens de corta duración, acotados y revocables. Para una malla fija, un certificado exigido por la contraparte o una flota de dispositivos, TLS mutuo da una identidad del par a prueba de repetición. Cuando la carga de trabajo se ejecuta en un sitio donde la plataforma puede atestiguarla, la identidad de carga de trabajo elimina por completo el secreto almacenado, y suele ser la opción más fuerte cuando está disponible.
¿Hace llamadas de red o criptográficas?
No. No se sube nada, no se analiza ningún token ni certificado real y no hay criptografía. Los escenarios son situaciones de formación realistas, escritas a mano e incluidas en la página, y todas las claves o tokens de ejemplo son marcadores evidentemente falsos, como sk_live_...EXAMPLE...NOTREAL. Funciona íntegramente en tu navegador: sin instalación y sin enviar nada a ninguna parte.
¿Para quién es?
Para ingenieros de plataforma, nube y aplicaciones que conectan servicios entre sí, ingenieros de AppSec y de seguridad que revisan cómo se gestionan las credenciales y cualquiera que prepare una entrevista de seguridad o de infraestructura y quiera entender por qué una clave subida al repositorio, una clave en una URL, una clave de administrador en el bundle del navegador o una política con demasiados permisos son un hallazgo, y por qué una clave publicable en el cliente o una URL prefirmada no lo son.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.