Advanced API Security, 2nd Edition

Segunda edición actualizada a fondo por Prabath Siriwardena (arquitecto de identidad y seguridad de software) que aborda de forma integral la protección de APIs RESTful y microservicios empresariales en la nube. Toma como núcleo el protocolo OAuth 2.0 y profundiza en las especificaciones más rigurosas del IETF y de la OpenID Foundation (como UMA 2.0, PKCE, TLS Token Binding y la suite JOSE). El texto está orientado a arquitectos de seguridad, líderes técnicos e ingenieros de backend de nivel intermedio a avanzado que ya comprenden la infraestructura de APIs sobre HTTP/TLS y necesitan diseñar arquitecturas defensivas de nivel corporativo.

El temario cubre desde los principios de diseño seguro y la protección perimetral con API Gateways hasta la federación de identidades y la seguridad a nivel de mensaje. Explica en detalle el funcionamiento de OpenID Connect (OIDC), la firma y cifrado de cargas útiles con JSON Web Signature (JWS) y JSON Web Encryption (JWE), la mitigación de ataques en aplicaciones móviles nativas y navegadores mediante Proof Key for Code Exchange (PKCE), y el control de acceso granular centrado en el usuario con User-Managed Access (UMA 2.0). Analiza también el intercambio de tokens (Token Exchange), autorización incremental y modelos de amenazas reales, desglosando incidentes y fallos habituales en implementaciones de OAuth 2.0 para comprender su causa raíz y cómo evitarlos.

A través del repositorio de código oficial en Java y ejemplos prácticos de configuración y llamadas HTTP, el libro proporciona patrones de implementación y pruebas de concepto para proteger el tráfico entre clientes web, móviles y servicios backend. No construye una aplicación monolítica guiada de principio a fin, sino que ofrece recetas arquitectónicas y código modular de apoyo. Su gran valor reside en cubrir especificaciones avanzadas y análisis de vulnerabilidades que la mayoría de los manuales introductorios omiten por completo. Deja fuera aspectos de seguridad a nivel de infraestructura de red física y herramientas de monitorización en tiempo real, centrándose exclusivamente en la capa de protocolo y aplicación.