Cómo diseñar una API REST segura con Node.js y Express

Crear una API REST con Express es sencillo; hacerla segura requiere tomar decisiones desde el primer endpoint. Una API debe validar los datos recibidos, proteger las rutas privadas, limitar abusos y evitar que los errores revelen información interna. En este artículo verás una base práctica para pasar de un servidor de prueba a una API mejor preparada.

Empieza por separar configuración y código

Las claves, contraseñas y tokens nunca deben escribirse directamente en el código ni subirse al repositorio. Usa variables de entorno y documenta sus nombres en un archivo de ejemplo:

PORT=3000
DATABASE_URL=tu_conexion
JWT_SECRET=una_clave_larga

El archivo real debe estar en .gitignore. En producción, configura los secretos desde el proveedor de alojamiento.

Valida el cuerpo de cada petición

No confíes en que el cliente enviará el formato correcto. Comprueba campos obligatorios, tipos, longitudes y valores permitidos antes de guardar datos. Una validación clara evita errores y reduce entradas maliciosas.

app.post('/api/tareas', (req, res) => {
  const titulo = typeof req.body.titulo === 'string' ? req.body.titulo.trim() : '';
  if (titulo.length < 3 || titulo.length > 120) {
    return res.status(400).json({ error: 'El título no es válido' });
  }
  res.status(201).json({ titulo });
});

Protege rutas privadas

La autenticación identifica al usuario; la autorización decide qué puede hacer. No basta con comprobar que existe un token: también hay que verificar que el usuario tiene permiso sobre el recurso solicitado. Evita exponer datos de otro usuario cambiando un ID en la URL.

Usa códigos de estado y errores consistentes

• 400: la petición tiene datos inválidos.
• 401: falta autenticación válida.
• 403: el usuario no tiene permiso.
• 404: el recurso no existe.
• 500: error inesperado del servidor.

En producción, registra el detalle internamente, pero devuelve al cliente un mensaje general. Nunca envíes trazas, rutas del servidor, contraseñas ni consultas SQL en la respuesta.

Reduce abusos y configura cabeceras

Limita el número de solicitudes por IP o por usuario en endpoints sensibles como inicio de sesión y recuperación de contraseña. También conviene usar HTTPS, configurar cabeceras de seguridad y revisar CORS para permitir solo los orígenes necesarios.

Prueba errores, no solo respuestas correctas

Una prueba útil intenta enviar campos ausentes, tipos incorrectos, valores demasiado largos y peticiones sin autorización. Documenta los endpoints con ejemplos y prueba los códigos de estado.

Lista de comprobación antes de publicar

• Secretos fuera del repositorio.
• Validación en cada entrada.
• Autenticación y autorización separadas.
• HTTPS activo.
• Límite de solicitudes.
• Logs sin datos sensibles.
• Pruebas para errores y permisos.

Conclusión

La seguridad de una API no depende de una única biblioteca. Es el resultado de validar, limitar, autenticar, autorizar y revisar los errores de forma sistemática. Puedes complementar esta guía con nuestro tutorial para crear una API REST con Node.js y Express.

Fuentes oficiales

• Documentación de Express
• OWASP API Security Top 10

Si quieres conocer otros artículos parecidos a Cómo diseñar una API REST segura con Node.js y Express puedes visitar la categoría Desarrollo web.