¿Cómo proteges una API ASP.NET Core?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

La autenticación se configura con un esquema bien soportado, JWT bearer para APIs o cookies para aplicaciones de navegador, con parámetros de validación de token explícitos sobre emisor, audiencia y vigencia. La autorización usa políticas y handlers basados en recursos para que una regla como propietario-o-administrador viva en un solo sitio y aplique igual en controladores y endpoints mínimos. HTTPS se impone con HSTS, los flujos con cookies mantienen antiforgery, la entrada se valida con data annotations o FluentValidation, EF Core parametriza las consultas, el middleware de rate limiting protege login y endpoints caros, y los secretos y claves de protección de datos viven fuera del contenedor en un almacén de claves.

Ejemplo

Una API valida JWTs contra el JWKS del proveedor de identidad con cinco minutos de tolerancia de reloj, aplica una política ProjectOwner cuyo handler carga el proyecto y compara OwnerId con quien llama, y limita /auth/login por IP y por cuenta. Las claves de protección de datos se persisten en Azure Blob Storage protegidas por Key Vault para que las cookies sigan siendo válidas tras reiniciar pods.

Errores frecuentes

• Desactivar comprobaciones de validación de token como la audiencia para que una integración rápida funcione.
• Comprobar roles solo en controladores y dejar endpoints de API mínima sin proteger.
• Guardar las claves de protección de datos en el sistema de ficheros del contenedor e invalidar todas las sesiones en cada despliegue.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.