Autenticación en REST APIs

Curso práctico que lleva el consumo de REST APIs al siguiente nivel: escribir código real que se autentique, gestione errores y procese respuestas. El alumno aprende los mecanismos de autenticación más usados en la industria (API Key, Bearer/JWT y OAuth2 básico), los implementa desde código y aplica buenas prácticas de seguridad para el manejo de credenciales. El curso culmina con un proyecto integrador que construye un cliente HTTP autenticado completo.

Al finalizar el curso, el participante será capaz de:

• Implementar peticiones autenticadas con API Key tanto en cabecera HTTP (Authorization, X-API-Key) como como query parameter
• Implementar autenticación con Bearer token (JWT): obtener el token desde un endpoint de login y enviarlo en cabeceras de peticiones posteriores
• Distinguir los mecanismos de autenticación más habituales (API Key, Bearer/JWT, OAuth2 Authorization Code) y seleccionar el adecuado según el caso
• Gestionar errores de autenticación (401 Unauthorized, 403 Forbidden) e interpretar el motivo del fallo a partir de la respuesta
• Almacenar credenciales en variables de entorno y evitar su inclusión directa en el código fuente
• Construir un cliente HTTP funcional que consuma un endpoint autenticado, maneje errores de red y de autenticación, y procese la respuesta JSON

1. Autenticación con API Key — uso en cabecera HTTP (Authorization, X-API-Key) y como query parameter; diferencias prácticas y cuándo usar cada variante
2. Autenticación con Bearer token y JWT — flujo de obtención del token (endpoint de login), envío en cabeceras, caducidad e invalidación; lectura básica del payload JWT
3. OAuth2 básico y flujos de autorización — conceptos de Authorization Code y Client Credentials; cuándo aplican; diferencia con API Key y JWT
4. Gestión de errores de autenticación — interpretar 401 y 403, reintentos con token renovado, logging y trazabilidad sin exponer credenciales
5. Buenas prácticas de seguridad en el cliente — variables de entorno, ficheros .env, .gitignore, secretos en CI/CD; qué nunca debe llegar al repositorio
6. Proyecto integrador — cliente HTTP autenticado que obtiene token, realiza peticiones paginadas y filtradas, gestiona errores y escribe la respuesta a fichero

• Entorno de desarrollo con Node.js instalado (u otro lenguaje acordado con el grupo)
• Postman o Thunder Client para comparar comportamiento entre herramienta cliente y código
• Acceso a internet para consumir APIs públicas con autenticación durante las prácticas
• Editor de código (VS Code recomendado)

• Haber completado RAP01 (Consumo de REST APIs) o tener experiencia equivalente con peticiones HTTP y formato JSON
• Familiaridad básica con cualquier lenguaje de programación (lectura de código, variables, funciones)
• No se requiere experiencia previa en seguridad ni en autenticación