Noticias

A medida que las empresas dependen cada vez más de las API para conectar servicios y aplicaciones, la seguridad de estos flujos de datos es fundamental. Este caso práctico describe cómo implementamos un robusto sistema de autenticación JSON Web Token (JWT) para la API principal de Joomla de un cliente, garantizando que el acceso a la API estuviera restringido exclusivamente a usuarios registrados y autenticados.

Requisitos previos

Este caso de uso se ha implementado sin problemas con los plugins que se listan a continuación. Para ello, deberá instalarlos en su instancia de Joomla.

Extensión API personalizada para Joomla

El complemento API personalizado le permite crear puntos finales/rutas REST personalizados para obtener/modificar/crear/eliminar datos en Joomla.

Descargar extensión

Desafío

El cliente necesitaba exponer los datos y la funcionalidad de su sitio Joomla mediante una API para su uso en aplicaciones externas. Sin embargo, los controles de acceso predeterminados eran insuficientes para sus requisitos de seguridad. El principal reto era implementar una autenticación JWT basada en el usuario Sistema. Esto significaba que el acceso a la API no podía ser abierto ni basarse en una clave API simple y estática; debía otorgarse dinámicamente solo a usuarios con credenciales de inicio de sesión válidas en el sitio Joomla.

Solución:

Diseñamos y desarrollamos un flujo de autenticación personalizado que se integra directamente con el sistema de gestión de usuarios de Joomla. La solución implicó crear un punto final de API dedicado específicamente para generar tokens JWTEste enfoque garantiza que cada solicitud de API se valide de forma segura sin exponer repetidamente las credenciales del usuario.

Esta solución basada en JWT ofrece varias ventajas:

• Seguridad mejorada: Los tokens están firmados digitalmente y pueden ser verificados por el servidor, lo que evita el acceso no autorizado.
• Sin estado y escalable: El servidor no necesita almacenar información de sesión para cada usuario, lo que hace que la API sea más eficiente y escalable.
• Vida útil del token controlado: Al permitir que se establezca un tiempo de vencimiento, los tokens se vuelven inválidos automáticamente después de un cierto período, lo que reduce el riesgo de que los tokens comprometidos se utilicen indebidamente.
• Integración Perfecta: Aprovecha la base de datos de usuarios de Joomla existente, por lo que no es necesario administrar un conjunto separado de credenciales para el acceso a la API.

Implementación

El proceso de autenticación se implementó en dos fases distintas: generación de tokens y validación de tokens:

• Generación de tokens:
• El usuario debe primero solicitar un token enviando sus credenciales a un nuevo punto final seguro.
• Esta solicitud debe contener su Joomla nombre de usuario más antigua y la contraseña. Además, un predefinido llave secreta y un deseado tiempo de caducidad debe ser suministrado.
• Nuestro sistema valida el nombre de usuario y la contraseña contra la base de datos de usuarios de Joomla.
• Si las credenciales son correctas, se genera un JWT único, se firma con la clave secreta y se envía de vuelta al usuario.
• Acceso API con token:
• Para acceder a cualquier punto final de la API de Joomla protegida, el usuario debe incluir el JWT generado en el Autorización encabezado de su solicitud.
• Una capa de middleware en el sitio Joomla intercepta cada llamada API, verifica un JWT válido en el encabezado y verifica su firma y fecha de vencimiento.
• Si el token es válido, se procesa la solicitud. Si falta, no es válido o ha caducado, la API devuelve inmediatamente un 401 no autorizado Error, bloqueando el acceso.

Resultado

Al crear este sistema de autenticación JWT personalizado, logramos proteger la API de Joomla del cliente. La solución proporciona un método moderno, seguro y escalable para la autenticación de usuarios, directamente vinculado a su base de usuarios de Joomla. El cliente ahora puede conectar su sitio web con otros servicios y aplicaciones con total confianza, sabiendo que sus datos están protegidos y que el acceso está estrictamente controlado por usuario.

Recursos adicionales

1. Autenticación de API personalizada para Joomla
2. Autenticación Web3 para Joomla
3. Escudo de seguridad de Joomla