Quiz: APIs seguras con Express

Este quiz relaciona controles de seguridad con fallos concretos. La respuesta correcta no es añadir todas las capas indiscriminadamente, sino justificar qué amenaza reduce cada una y comprobar que no rompe el contrato.

Ejemplo resuelto

Una petición sin credencial a GET /me requiere autenticación y debe recibir 401. Una petición autenticada de un estudiante a DELETE /courses/c1 puede recibir 403. Si el navegador llama desde un origen no permitido, CORS debe impedir el acceso de lectura, pero eso no reemplaza la autorización del servidor.

Pruébalo

1. Asigna autenticación, autorización, CORS o rate limit a cada escenario.

2. Separa identidad de permisos.

3. Indica qué control ocurre antes del controlador.

4. Explica qué dato nunca debe entrar en un log.

Error frecuente: usar CORS como barrera principal contra cualquier cliente. Corrígelo recordando que la autorización debe vivir en el servidor.

Comprueba tu resultado

Tus respuestas deben asociar /me sin credencial con 401, eliminación por estudiante con 403, origen no permitido con lectura bloqueada por CORS en el navegador y repetidos intentos con rate limit. El dato prohibido en logs es una credencial completa, como token o contraseña.