Integraciones API seguras: Stripe, Shopify, Salesforce, webhooks

Lo que es

Una integración segura protege tres cosas: las credenciales que otorgan acceso, los datos que fluyen entre sistemas y la integridad de los eventos de negocio que desencadenan acciones. Las credenciales incluyen claves de API, tokens OAuth y client secrets; deben residir solo en el servidor, en un gestor de secretos o en una configuración de entorno protegida, con los permisos mínimos que necesite la integración. Los datos en tránsito usan HTTPS, y los datos en reposo se limitan a lo que el negocio realmente necesita almacenar. La integridad de los eventos depende de verificar que los webhooks entrantes provienen realmente del proveedor. Stripe, por ejemplo, firma los eventos de webhook con un secreto de firma y proporciona un encabezado de firma que su endpoint debe verificar; Shopify firma los webhooks con un encabezado HMAC; las integraciones con Salesforce suelen basarse en OAuth mediante una connected app o su equivalente más reciente, una external client app, con permisos acotados. La fiabilidad también importa. Los webhooks pueden llegar tarde, más de una vez o fuera de orden, por lo que los handlers deben ser idempotentes, y las llamadas salientes deben gestionar los límites de tasa y los reintentos sin duplicar cobros, pedidos ni registros. Stripe admite claves de idempotencia por este motivo.

Para quién es

Esta guía está dirigida a:

• Equipos que conectan pagos, suscripciones o flujos de checkout con sus propios sistemas
• Empresas de comercio electrónico que sincronizan pedidos, inventario o clientes entre Shopify y otras plataformas
• Empresas que integran datos de CRM de Salesforce con herramientas internas o portales de clientes
• Product owners que revisan trabajos de integración entregados por una agencia o un freelance

Qué ayuda a aclarar

Revisar los controles ayuda a aclarar:

• Dónde se almacenan las credenciales, quién puede acceder a ellas y cómo se rotan
• Si los endpoints de webhook verifican las firmas y rechazan las solicitudes sin firmar o reenviadas
• Cómo se gestionan los fallos, los reintentos y los duplicados sin corromper datos
• Qué datos se copian entre sistemas y si realmente hace falta copiarlos todos

Qué se incluye

• Mantenga las claves de API secretas solo en el servidor; use claves publicables o públicas en los clientes cuando el proveedor lo admita
• Almacene los secretos en un gestor de secretos o en una configuración protegida, nunca en repositorios de código fuente
• Solicite los scopes y permisos mínimos; use credenciales distintas para cada entorno
• Rote las credenciales periódicamente e inmediatamente después de cambios de personal o de proveedores
• Verifique las firmas de los webhooks con el método documentado por el proveedor y rechace las solicitudes que no superen la verificación
• Compruebe las marcas de tiempo de los eventos para reducir el riesgo de reenvío (replay) y registre los ID de los eventos procesados
• Haga que los handlers sean idempotentes para que los eventos repetidos no generen acciones duplicadas
• Use claves de idempotencia o salvaguardas equivalentes en las operaciones de creación salientes cuando se admitan
• Gestione los límites de tasa con backoff y ponga el trabajo en cola en lugar de descartarlo
• Registre los eventos de integración sin registrar secretos, datos de tarjetas ni datos personales innecesarios
• Alerte a alguien cuando los procesos de sincronización o los webhooks fallen de forma repetida
• Pruebe en el sandbox o en los modos de prueba del proveedor antes de pasar a las credenciales de producción

Qué no se incluye

• Validación del cumplimiento de PCI DSS o aprobación del procesador de pagos
• Operaciones antifraude o gestión de contracargos
• Afirmar que aplicar estos controles evita cualquier incidente de integración
• Operación de plataformas de terceros, que sigue siendo responsabilidad de los proveedores

Cuándo elegirlo

Use esta lista de verificación al diseñar una nueva integración, antes de la puesta en producción, al heredar código de integración de otro equipo y después de cualquier incidente con pagos duplicados, pedidos faltantes o accesos inesperados a datos. Es especialmente importante cuando una integración puede desencadenar acciones financieras, como cobros, reembolsos o cambios de suscripción, o puede exponer registros de clientes.

Nuestro enfoque

Trate cada integración como un pequeño producto con su propio responsable, documentación y monitoreo. Comience con un inventario de integraciones, credenciales y endpoints de webhook; muchas organizaciones descubren claves que nadie recuerda haber creado. Luego aplique los controles anteriores por orden de riesgo: primero los secretos y la verificación de firmas, después la idempotencia y el manejo de fallos, y por último los registros y las alertas. Nuestro servicio Secure Backend & API Engineering diseña y entrega trabajos de backend e integración con un contrato de API, un resumen de pruebas y un runbook de operaciones; el acceso a producción y los datos de clientes solo se utilizan con autorización expresa por escrito. Cuando intervienen lógicas de pago y suscripción, el servicio Subscription & Payment Infrastructure Security puede revisar por separado las rutas de pago y de derechos de acceso acordadas. Si desea una verificación independiente de los endpoints de integración existentes, una revisión de seguridad de aplicaciones puede incluirlos en su alcance.

Secure Backend & API Engineering

Preguntas frecuentes

Artículos relacionados