¿Qué son las API internas?

¿Qué son las API internas?

Una API interna, también llamada API privada, es una interfaz que solo deben llamar los sistemas, equipos y aplicaciones de la propia empresa. No se publica para desarrolladores externos. Permite, por ejemplo, que el servicio de facturación hable con el de usuarios, o que una app móvil hable con su backend, mediante un contrato documentado en lugar de bases de datos compartidas o código ad hoc.

Cómo funcionan las API internas

Una API interna es una API normal: casi siempre HTTP con JSON (REST) o gRPC, con endpoints, autenticación y un contrato versionado. Lo que la hace interna es quién puede llamarla, no la tecnología. El acceso se limita por la ubicación en la red (red privada o VPN), por un API gateway y por credenciales emitidas a servicios y equipos. Lo ideal es usar las tres capas. Las API internas son el pegamento de los microservicios: cada servicio es dueño de sus datos y solo los comparte a través de su API.

Se suelen distinguir tres audiencias: API internas para los equipos propios, API de socios para partners identificados con un acuerdo, y API públicas para cualquiera que se registre.

Ejemplo: el pago en una tienda online

Una tienda tiene servicios separados de pedidos, inventario y pagos. Al pagar, el servicio de pedidos llama a GET /inventory/items/42 en el de inventario y a POST /payments en el de pagos. Ninguno está expuesto a internet y la página de pago solo habla con el servicio de pedidos. Cuando otro equipo crea un servicio de devoluciones, lee los mismos contratos en lugar de pedir un volcado de la base de datos.

Errores comunes

• Confundir interno con seguro. Estar dentro de la red no es autorización. Si se compromete un servicio, toda API interna sin comprobaciones propias queda abierta. El OWASP API Security Top 10 (2023) incluye Broken Object Level Authorization e Improper Inventory Management, y ambos aplican también dentro del perímetro. Consulte seguridad de API.
• Sin inventario. Se acumulan versiones antiguas, endpoints de prueba y rutas sin documentar. Es el API sprawl, y el descubrimiento de API sirve para encontrar lo que ya existe.
• Sin contrato ni versiones. Un campo renombrado por un equipo rompe el servicio de otro sin aviso.
• Sin límites. Un solo cliente interno ruidoso puede agotar un servicio compartido. Ponga límites de tasa y timeouts también entre servicios.
• Probar solo la puerta de entrada. Las páginas públicas se prueban, las llamadas que hay detrás no.

Cómo probar y monitorizar API internas

Las API internas fallan en cadena: una llamada lenta a inventario ralentiza el pago. Compruebe de cada endpoint el código de estado, el cuerpo de la respuesta y el tiempo de respuesta, y pruébelo bajo carga concurrente. La monitorización de API de LoadFocus ejecuta esas comprobaciones de forma programada (cada 5 minutos en el plan gratuito) y avisa si fallan, y las pruebas de carga someten un endpoint a usuarios concurrentes. Un endpoint accesible solo dentro de una red privada no se puede comprobar desde internet, así que apunte las comprobaciones a una copia de staging o a una ruta protegida pero accesible. Para endpoints autenticados, consulte la guía de pruebas de rendimiento de API con OAuth2.

Preguntas frecuentes: API internas

¿Las API internas son lo mismo que las API privadas?

En el uso habitual, sí. Ambos términos se refieren a una API pensada solo para los sistemas y equipos de la organización.

¿Las API internas necesitan autenticación?

Sí. Estar en una red privada no basta. Los servicios deben identificarse y cada llamada debe comprobarse según lo que ese llamador puede hacer.

¿Qué diferencia hay entre API internas, de socios y públicas?

La audiencia. Las internas sirven a los equipos propios, las de socios a partners identificados con un acuerdo, y las públicas a cualquier desarrollador que se registre.

¿Puede una API interna pasar a ser pública?

Sí, pero hace falta más que una nueva URL: documentación, compromisos de versionado, límites de tasa, autorización más estricta y soporte.

¿Conviene hacer pruebas de carga a las API internas?

Sí. Los servicios compartidos reciben tráfico de muchos llamadores, y un límite que nunca se probó suele aparecer como una lentitud en el producto de otro equipo.