¿Qué es API Discovery? Definición y métodos

¿Qué es API Discovery?

API Discovery (descubrimiento de API) es el proceso continuo de encontrar todas las API que una organización ejecuta o utiliza y registrar cada una en un inventario con responsable, versión y entorno. Incluye las API documentadas, las API shadow creadas sin revisión de nadie, las API zombie que se dieron de baja pero siguen respondiendo y las API de terceros que llama tu código. No puedes proteger, probar ni monitorizar un endpoint cuya existencia desconoces.

Por qué importa

La documentación se queda atrás, los equipos entregan rápido y las versiones antiguas se quedan vivas. Es el problema que OWASP recoge como API9:2023 Improper Inventory Management: los atacantes acceden por versiones antiguas o endpoints que siguen funcionando sin parchear, con protecciones a menudo más débiles. Consulta seguridad de API, los principales riesgos de seguridad de API y API sprawl para el contexto general.

No es solo un tema de seguridad. Un inventario dice quién es responsable de cada endpoint, qué versiones siguen en uso y qué se puede retirar.

Cómo funciona

Ninguna fuente lo ve todo, así que los equipos combinan varias:

• Análisis de tráfico. Observar las peticiones reales en un gateway, proxy o punto de captura de red. Encuentra los endpoints que de verdad se usan, también los no documentados.
• Logs del gateway y del balanceador. Un punto de partida barato si la mayor parte del tráfico pasa por un único sitio.
• Análisis del código y los repositorios. Las rutas definidas en el código revelan endpoints que existen aunque aún no reciban tráfico.
• Inventario de nube y Kubernetes. Funciones, rutas de ingress y servicios que lista la propia plataforma.
• Agregación de especificaciones. Reunir en un catálogo los archivos OpenAPI (Swagger) que ya publica cada equipo. Encaja bien con un enfoque API-first.
• Registro de llamadas salientes. Saber qué API externas llaman tus servicios para incluir también las dependencias de terceros.

Ejemplo

Un equipo encuentra en los logs del gateway /v1/orders, que aún recibe unos cientos de llamadas diarias de una app móvil antigua mientras la API documentada ya está en /v3. El descubrimiento lo convierte en tres acciones concretas: asignar un responsable, aplicar a v1 los mismos controles de seguridad que a v3 y fijar una fecha de retirada.

Errores habituales

• Hacerlo una sola vez. Un inventario queda obsoleto en pocas semanas. Ejecuta el descubrimiento de forma continua o programada.
• Usar un único método. El análisis de tráfico no ve endpoints desplegados pero sin uso, y el análisis de código no ve rutas creadas en tiempo de ejecución.
• Listar sin actuar. Una API shadow en una hoja de cálculo sin responsable sigue siendo una API shadow.
• Olvidar las API de terceros y las internas. Las llamadas entre servicios y las dependencias salientes forman parte del conjunto.
• No clasificar. Saber que hay 400 endpoints sirve menos que saber cuáles tratan datos personales.

Después del descubrimiento: probar y monitorizar

Una API descubierta es solo un nombre hasta que algo la comprueba. Cuando un endpoint está en tu inventario, inclúyelo en la monitorización de API para enterarte de fallos y lentitud antes que tus usuarios. La monitorización de API de LoadFocus puede importar una especificación OpenAPI 3.x o Swagger 2.0 (JSON o YAML, pegada o cargada desde una URL) y crea un monitor por operación. No descubre endpoints por sí misma, así que la especificación debe salir de tu propio catálogo. Para pruebas de carga, consulta cómo convertir cURL, HAR, Postman u OpenAPI en una prueba de carga.

Preguntas frecuentes: API Discovery

¿Por qué no basta con documentar las API?

La documentación solo recoge lo que alguien se acuerda de escribir. Las API shadow, por definición, no están en ella y las versiones antiguas suelen sobrevivir a sus páginas. El descubrimiento mira lo que realmente está en marcha.

¿Qué diferencia hay entre una API shadow y una API zombie?

Una API shadow nunca se revisó ni se registró. Una API zombie se dio de baja oficialmente pero sigue recibiendo tráfico. Ambas están sin gestionar y son fuentes habituales de exposición sin parchear.

¿En qué se diferencia API Discovery de un catálogo de API?

El descubrimiento encuentra lo que existe. El catálogo es la lista curada con responsables, versiones y documentación. El descubrimiento mantiene el catálogo al día.

¿Con qué frecuencia debe ejecutarse?

De forma continua si es posible, o al menos a diario o a la semana. Una revisión manual trimestral deja huecos de meses.

¿LoadFocus descubre mis API?

No. LoadFocus prueba y monitoriza los endpoints que le indicas y puede crear monitores a partir de una especificación OpenAPI o Swagger que aportes.