APIs · 6 min de lectura
API abusada por bots: rate limiting, WAF y control por ruta
Cómo proteger APIs públicas o internas expuestas a internet con límites por endpoint, reputación, tokens y analítica.
Publicado el 29 de junio de 2026 · Equipo de seguridad de WAFLY
Una API puede sufrir scraping, enumeración, credential stuffing o abuso de endpoints caros sin que la web pública parezca atacada.
Señales de abuso
Muchos 401 o 403, peticiones secuenciales a IDs, ráfagas en endpoints de búsqueda, tokens reutilizados, errores 429 o consumo anómalo por cliente indican que alguien está automatizando más allá de lo previsto.
Controles necesarios
- Autenticación y permisos por alcance.
- Rate limiting por token, IP, ruta y método.
- Validación de payload y tamaño máximo.
- Bloqueo de patrones de enumeración.
- Registro de eventos con suficiente contexto.
WAFLY delante de la API
WAFLY aplica reglas antes de que el backend procese la petición. Esto permite parar abuso barato, proteger endpoints caros y mantener visibilidad de tráfico por ruta. Para APIs críticas, conviene combinar reglas de borde con validación fuerte dentro de la aplicación.
La API también es una aplicación web. Necesita inspección HTTP, no solo firewall de puertos.