Los desarrolladores de software están implementando API a un ritmo vertiginoso en el actual ecosistema centrado en la nube. Según el informe State of Application Strategy (SOAS) 2024 de F5, más de un tercio de las organizaciones ya gestionan tantas API como aplicaciones, y algunas grandes empresas supervisan hasta 10.000 API.1 A medida que las organizaciones continúan modernizando sus carteras de aplicaciones, se prevé que el número de API en uso supere los mil millones en 2031.2
¿Por qué proliferan tan rápidamente las API?
Las API se han vuelto indispensables para las aplicaciones modernas porque mejoran la eficiencia y la interoperabilidad. Además, permiten que distintos sistemas de software se comuniquen sin problemas, lo que facilita que los equipos integren diversos servicios y optimicen los procesos.
El auge de la IA impulsa el crecimiento de las API, ya que depende en gran medida de ellas para funciones como el procesamiento de datos, el aprendizaje automático y la automatización. A medida que siga aumentando la adopción de la IA, también lo hará la necesidad de API.
Sin embargo, esta rápida expansión conlleva importantes obstáculos en materia de seguridad. El informe SOAS de F5 revela que el 95 % de las organizaciones utiliza puertas de enlace de API1; no obstante, esta práctica por sí sola no es suficiente. Actualmente, la seguridad de las API se enfrenta a dos problemas clave: el descubrimiento y el desplazamiento a la izquierda para incorporar la seguridad en una fase más temprana del proceso de desarrollo.
El estado de la seguridad de las API y sus carencias
Actualmente, las medidas de protección de las API no avanzan al mismo ritmo que su creciente uso. Aunque las puertas de enlace de API ofrecen cierto grado de control, no abordan la necesidad fundamental de descubrir las API ni de contar con estrategias de seguridad integrales. Gartner predice que, para 2025, la mitad de todas las API no estarán gestionadas, lo que planteará graves riesgos.3 Estas API en la sombra pueden exponer a las organizaciones a accesos no autorizados, filtraciones de datos y otras amenazas, ya que operan fuera de la visibilidad y el control de los equipos de seguridad. Contienen vulnerabilidades que los atacantes aprovechan para acceder sin autorización a datos confidenciales. El primer paso para hacer frente a esta amenaza es descubrir las API en la sombra presentes en el entorno de una organización.
Para descubrir las API en la sombra y gestionar las complejidades asociadas a la multinube, los equipos pueden empezar por examinar el espacio de dominios expuesto mediante herramientas diseñadas para el descubrimiento de API. Identificar todos los endpoints del dominio de una empresa ayuda a trazar el panorama de las API. Sin embargo, el reto se intensifica en los entornos multinube, donde las API abarcan diversas plataformas con distintos protocolos de seguridad y requisitos de gobernanza. Esta complejidad exige un enfoque estratégico para la gestión y la seguridad de las API.
Dado que los desarrolladores añaden nuevas API de forma habitual, pueden implementar soluciones como la gestión de API de Apigee de Google Cloud y F5 Distributed Cloud API Security, que ofrecen detección y supervisión continuas, lo que les permite incorporar medidas de seguridad en las primeras fases del ciclo de desarrollo y mejorar la gobernanza de las API.
Desplazamiento de la seguridad de las API a fases más tempranas
Según Gartner, para 2026, el 40 % de las organizaciones seleccionará un proveedor de WAAP en función de sus funciones avanzadas de protección de API y seguridad de aplicaciones web. Esto supone un aumento respecto a menos del 15 % en 2022.4
Aunque se trata de una buena noticia, más organizaciones pueden integrar prácticas de seguridad en sus canalizaciones de CI/CD adoptando un enfoque «shift left», para garantizar que las API sean seguras desde el principio. Esto implica disponer de documentación exhaustiva de las API, realizar comprobaciones de seguridad automatizadas y ofrecer formación continua a los equipos de desarrollo y seguridad.
Reducir la tensión entre los equipos de desarrollo y de seguridad
Históricamente, ha existido cierta tensión entre los desarrolladores centrados en realizar despliegues rápidos y los equipos de seguridad que priorizan la protección. Para aliviar esta tensión, es fundamental fomentar una cultura de responsabilidad compartida en materia de seguridad. Promover la colaboración y el entendimiento mutuo puede ayudar a alinear los objetivos y agilizar los procesos.
Protección de todo el ciclo de vida de las API
Un enfoque integral implica una supervisión continua, actualizaciones periódicas, la detección proactiva de amenazas, la implementación de mecanismos sólidos de autenticación y autorización, y la adopción de herramientas de seguridad avanzadas que aprovechen la IA para detectar y mitigar amenazas.
F5 y Google Cloud te ayudan a desplazar la seguridad a fases más tempranas
El primer paso para mejorar la seguridad de las API consiste en realizar un inventario exhaustivo de todas ellas, identificar los endpoints no gestionados u obsoletos y documentar sus funcionalidades y medidas de seguridad. Las organizaciones deben priorizar la protección de las API en función de sus niveles de riesgo y su posible impacto. Las soluciones complementarias, como F5 Distributed Cloud API Security y Apigee, ayudan a crear un marco de seguridad integral para proteger las API en todos los entornos, lo que aporta tranquilidad a los desarrolladores en un mundo cada vez más interconectado.
Así pues, aunque el crecimiento de las API ofrece oportunidades a las organizaciones, los equipos deben ser conscientes de los riesgos de seguridad. Las organizaciones pueden gestionar sus API de forma más eficaz integrando la seguridad desde las primeras fases del desarrollo, adoptando el descubrimiento continuo y fomentando la colaboración entre los equipos de desarrollo y seguridad.
Para saber más sobre lo que dicen nuestros especialistas de F5 y Google Cloud acerca de la seguridad de las API, vea el seminario web bajo demanda «Shift Left: Transforme la seguridad de sus API con F5 y Google Cloud». También puede visitar Google Cloud Platform (GCP) para conocer en profundidad nuestra colaboración.
Fuentes
1. F5, Informe sobre el estado de la estrategia de aplicaciones en 2024, 2024
2. F5, La expansión continua de las API, nov. de 2021
3. Gartner, Predicciones para 2022: las API requieren una seguridad y una gestión mejoradas, dic. de 2021
4. Gartner, Guía de mercado para la protección de aplicaciones web y API en la nube, nov. de 2023
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.