API Gateway: arquitetura e segurança

TL; DR

A entrada API é o único ponto de política (athz, rate, transformação, auditoria) e o limite de confiança entre o mundo exterior e os serviços. O sucesso é Zero-Trust (mTLS/JWT), policy-as-código, SLO orientado de tráfego e observação ortogonal. Construa: edge gateway → BFF → service mesh; mantenha a versionagem e as bandeiras de fic; automatize a proteção de webhooks e chaves; teste os lançamentos canários.

1) Papéis e pattern de acomodação

Edge/API Gateway (north-south): fronteira externa. Termination TLS, WAF, DDoS, authN/Z, rate/cotas, CORS, transformações, dinheiro, webhooks.
BFF (Backend-for-Frontend): camada de adaptação para clientes específicos (web/mobile/partners). Esquemas, agregações, limites, cacifamento de respostas.
Internal Gateway (east-west )/Service Mesh Invress: permissão interna de serviço-para-serviço, mTLS, política-routing.
Um ponto único do transmissor de protocolo e dos circuitos de validação.

Anti-pattern: «Tudo através de uma entrada monolítica sem isolar ambientes», «lógica empresarial oculta em plugins», «governar manualmente as regras».

2) Modelo de confiança e autenticação

TLS 1. 2+/1. 3 no perímetro, HSTS em domínios públicos; dentro - mTLS entre a entrada e os serviços.
OAUTh2/OIDC: Código de Autocracia (PKCE) para clientes; clientes-credentals para integrações de servidor; JWT com TTL curto e rotação de chaves (JWKS).
Assinaturas HMAC para associações de integração e webhooks (chave por cliente, SHA-256/512, verificação de temporizações e anti-replay).
Chave API - apenas como um fator/para rastreamento; Limitar scope, IP, prazo.

• Divida authN (quem) e authZ (o que é possível). Use atributos (scopes, roles, tenant, risk flags).
• Todos os tokens, com aud/iss/exp/nbf; clock-skew ≤ 60s; kid obrigatório e dinheiro JWKS de 5 min.

3) Autorizações e políticas (Zero-Trust)

ABAC/RBAC na entrada: regras sobre claims + contexto de consulta (IP/ASN/geo/tenant).
Policy-as-Code (por exemplo, OPA/Rego): armazenamento de regras em Git, validação CI, canários.
Multi-locação: isolamento por 'X-Tenant-Id', SSO na fronteira tenante; quotas/limites por locador.

4) Controle de tráfego e confiabilidade

Rate limiting: leaky/tocen bucket, granularidade: chave/tenant/rota/BIN/país (para API de pagamento).
Cotas: diurnos/mensais, individuais para operações pesadas (por exemplo, relatórios).
Burst controle e dinamic throttling baseado em carga e SLO.
Circuito breaker: abertura em erro/latência; outlier detation por upstream.
Retry with backoff+jitter; Idempotidade: chave 'Idempotency-Key' + janela TTL + armazenamento de resultados.
Timeouts: cliente <gateway <upstream; orientações p95 razoáveis (por exemplo, 1. 5s/3s/5s).
Failover/Canary:% - routing (weighted), sessão-affinity opcional, blue/green.

5) Transformações e validadores

Esquemas: OpenAPI/JSON Schema para REST; Protobuf para gRPC; SDL para GraphQL. Validação request/response na entrada.
gRPC↔REST transplante, GraphQL federation (para BFF).
Header normalização (trace-ids, security headers), response filtering (PII-redação).
CORS: whitelists, 'Vary' correto, proibição de 'Autorizações'.
Compression и response caching (ETag/Cache-Control) для safe-GET.

6) Segurança do perímetro

WAF: OWASP Top-10 regras, modelo positivo para roteiros críticos, patches virtuais.
Bot-proteção: assinaturas rate-based, device fingerprint, capches protegidos para endpoint públicos.
Escudo DDoS: upstream (cloud) + limites locais; geo/ASN listras de bloco.
CSP/Referrer-Policy/X-Frame-Opções - Se o gateway atender estáticas/widgets.
WebSockets/SSE/WebTransport: perfis individuais de limites e horários; Uma extensão auth por token.

7) Webhooks: segurança e entrega

Cada destinatário tem um segredo; A assinatura 'HMAC (assinatura, timestamp' path 'body') '; janela de tempo permitido (por exemplo, 5 min).
Idempotação na recepção: deadup por 'event _ id'.
Retrai: Exponencial, no máximo N; status-endpoint para hand-shake.
mTLS/Allow-list IP; possibilidade replay por solicitação com restrições.

8) Observação e auditoria

Logi: Não logar segredos/PAN/PII; corar por 'trace _ id '/' span _ id'; camuflagem.
Métricas: RPS, erro rate por classe, latency p50/p95/p99, open circuits, retry rate, 4xx vs 5xx, saturation.
Trailers: W3C Trace Context; colar 'traceparent '/' tracestate' em upstream.
Auditoria: fluxo separado de «quem e o que chamou/mudou», armazenamento inalterável; eventos de política (access-denied, cota-hit).

9) Segredos e criptografia

Armazenamento de chaves: KMS/Vault, rotação a cada 90 dias (ou mais frequentemente), papéis individuais para leitura.
Certificados: emissão automática/atualização (ACME), pinning para celular (TOFU/HPKP-like com cuidado).
Rotação JWKS: duas chaves ativas (antiga/nova), janelas claras de espreguiçamento.
Criptoprofil TLS: preferência ECDHE, proibição de códigos/protocolos vulneráveis.

10) Complaens e dados

PCI DSS: fluxo PAN-safe, toquenização; nunca processa raw-PAN através de plugins.
GDPR/DSAR: Rotação por região/tenante, data residency, remoção/anonimato.
Limite de exposição PII: Filtragem de campos na entrada, criptografia de cabeçalhos sensíveis.

11) Topologia e multiregionalidade

Self-managed vs Managed (Envoy/Kong/NGINX vs API em nuvem). Para controle rigoroso/PCl - mais self-managed.
Multi-AZ/Multi-Region Ative-Ative: global DNS/GSLB, health-based e geo-routing, para-regional secret-stores.
Plano DR.: RPO/RTO, estandarte frio/quente com políticas sinuosas.

12) Versionização e evolução da API

Estratégias: URI, header-versioning, conteúdo-negotação. Para os públicos, deprecation policy claro (≥6 -12 m).
Backward-compat: expandir esquemas adicionando campos opcionais; contratos em Git, Linters OpenAPI.
Canady/Shadow: processamento do tráfego para «sombra» da nova versão, comparação de respostas.

13) Desempenho e dinheiro

Dinheiro em edge para consultas GET/idumpotentes; condições: RETAG/Cache-Controle corretos.
Conexion pooling para upstream; HTTP/2 manter ligado; para gRPC, benefício máximo.
Payload budgets: limitação do tamanho dos corpos; gzip/br.
O pré-compute de respostas BFF para painéis/diretórios de alta frequência.

14) Gerenciamento de configuração

GitOps: manifestos declaratórios de rotas/políticas; review/CI (lint, security scan); CD com lotes canários.
Bandeiras fichas na entrada: interruptor rápido de rotas/regras sem deploy.
Templos para políticas repetidas (OIDC, rate, CORS).

15) Mini-snippets (pseudo)

yaml plugins:
- name: idempotency config:
header: Idempotency-Key ttl: 24h storage: redis

yaml
- name: rate-limiting config: {policy: local, minute: 600, key: consumer_id}
- name: response-ratelimiting config: {limits: {"heavy": {minute: 60}}, key: route_id}

yaml
- name: oauth2-introspection config:
jwks_uri: https://idp/.well-known/jwks. json required_scopes: ["payments:write","payments:read"]

yaml
- name: waf config:
mode: block ruleset: owasp_crs exclusions: ["/health", "/metrics"]

pseudo sig = HMAC_SHA256(secret, timestamp + "\n" + method + "\n" + path + "\n" + sha256(body))
assert     now - timestamp     < 300s

16) NFL (NFR) e SLO para gateway

Uptime (mês): ≥ 99. 95% (edge), ≥ 99. 9% (internal).
Latency p95: ≤ 50-100 ms suplementos de upstream.
Error budget: ≤ 0. 05% 5xx da entrada (excluído o upstream).
Políticas de segurança: 100% de consultas com TLS; 0 incidentes de fuga de segredos; MTTR vulnerabilidade das regras WAF ≤ 24h.

17) Folha de cheque de implementação

• Mapa arquitetônico: edge → BFF → mesh, lista domínios/roteiros.
• TLS/mTLS, rotação JWKS, segredos no KMS/Vault.
• OAuth2/OIDC, scopes/claims, ABAC/OPA.
• Rate/cotas, circuito-breaker, retry/backoff, idempotidade.
• OpenAPI/JSON Schema validadores, transformações gRPC/REST/GraphQL.
• Perfil WAF/DDoS/bot, CORS/CSP.
• Webhook segurança: HMAC, anti-replay, allow-list.
• Logs/métricas/trailers; auditoria de acesso/alterações.
• GitOps/policy-as-code; canários; Plano Dr.
• Controle PCI/GDPR: camuflagem, reticências, procedimentos DSAR.

18) Erros frequentes

Armazenamento de segredos na configuração de gateway/logs.
Global "em CORS/confiança a todos" Origin ".
Falta de Idempotação e Tempo Honesto → Duplos e Avalanche.
Mistura de authN e lógica de negócios em plugins de passarela.
Não há roteiros JWKS e kid de chaves presas.
Observabilidade sem trace-correlação → RCA cego.

Currículo

A API Gateway não é apenas um proxy reverso, mas uma plataforma de política e segurança que mantém a produtividade, a complicação e a monetização. Construa o Zero-Trust, construa os contratos com circuitos, controle o tráfego através do SLO, automatize as configurações através do GitOps e policy-as-código. Então, a cabana se tornará uma «borda» sustentável da sua arquitetura, e não uma garganta estreita.