¿Qué hace mapbox-token-security?
Prácticas recomendadas de seguridad para tokens de acceso de Mapbox, incluyendo gestión de ámbitos, restricciones de URL, estrategias de rotación y protección de datos sensibles. Úsalo al crear, gestionar o asesorar sobre la seguridad de tokens de Mapbox.
Introducción
Los tokens de acceso de Mapbox son credenciales críticas que permiten a las aplicaciones autenticarse y utilizar los servicios de Mapbox. Una gestión inadecuada puede exponer tus datos y recursos a uso no autorizado. Esta guía describe las mejores prácticas para asegurar tus tokens.
Gestión de Ámbitos
- Principio de mínimo privilegio: Asigna solo los ámbitos necesarios para la funcionalidad de tu aplicación. Por ejemplo, si solo necesitas cargar mapas estáticos, usa el ámbito
staticen lugar destylesodatasets. - Revisión periódica: Revisa regularmente los ámbitos de los tokens existentes y elimina aquellos que ya no sean necesarios.
- Separación de tokens: Utiliza tokens diferentes para diferentes entornos (desarrollo, pruebas, producción) y para diferentes servicios o funciones.
Restricciones de URL
- Origen permitido: Configura la URL de origen permitida en el token para restringir su uso a dominios específicos (por ejemplo,
https://miaplicacion.com). Esto evita que el token sea utilizado desde sitios no autorizados. - Patrones de URL: Para aplicaciones complejas, usa patrones de URL como
https://*.miaplicacion.compara permitir subdominios. - Validación del lado del servidor: Siempre que sea posible, realiza una validación adicional del lado del servidor para verificar que la solicitud proviene de una fuente esperada.
Estrategias de Rotación
- Rotación regular: Rota los tokens periódicamente (por ejemplo, cada 90 días) para limitar el impacto de una posible filtración.
- Rotación inmediata: Rota inmediatamente cualquier token que sospeches que ha sido comprometido.
- Automatización: Utiliza herramientas de CI/CD o scripts para automatizar la rotación de tokens, asegurando que se actualicen sin tiempo de inactividad.
- Coordinación: Al rotar, coordina la actualización en todas las aplicaciones y servicios que utilizan el token antiguo para evitar interrupciones.
Protección de Datos Sensibles
- No incluir tokens en el código: Nunca incluyas tokens directamente en el código fuente, especialmente en repositorios públicos. Úsalos a través de variables de entorno o servicios de gestión de secretos.
- Almacenamiento seguro: Almacena los tokens en un lugar seguro, como un gestor de secretos (ej. HashiCorp Vault, AWS Secrets Manager) o en variables de entorno del sistema operativo.
- Evitar logs: Asegúrate de que los tokens no se registren en archivos de log o se expongan en mensajes de error.
- Uso en el lado del cliente: Si debes usar tokens en el lado del cliente (por ejemplo, en aplicaciones web), utiliza tokens con ámbitos restringidos y considera el uso de tokens temporales o de corta duración.
Monitoreo y Auditoría
- Registro de actividad: Habilita el registro de actividad de Mapbox para monitorear el uso de tus tokens y detectar comportamientos anómalos.
- Alertas: Configura alertas para eventos inusuales, como un aumento repentino de solicitudes desde una IP desconocida.
- Revisión de uso: Revisa periódicamente los informes de uso del panel de control de Mapbox para identificar tokens infrautilizados o sospechosos.
Conclusión
Al seguir estas prácticas recomendadas, puedes proteger eficazmente tus tokens de acceso de Mapbox, minimizando el riesgo de uso no autorizado y asegurando la integridad de tus aplicaciones y datos. Recuerda que la seguridad es un proceso continuo: revisa y actualiza tus prácticas regularmente.
Documento generado con fines de consulta y buenas prácticas de seguridad.