APIs seguras: rate limiting, OAuth y PKCE para apps móviles

Startups en San Juan y equipos mainland sirviendo usuarios en PR lanzan apps móviles contra APIs REST sin rate limiting — invitación a credential stuffing y scraping de catálogos. OWASP API Security Top 10 lista broken authentication y unrestricted resource consumption en top posiciones; OAuth 2.1 con PKCE es baseline para clientes públicos móviles.

PKCE (Proof Key for Code Exchange) evita interceptación de authorization code en apps nativas sin client secret embebido. Implemente en React Native, Flutter, o Swift — nunca deshabilite PKCE "porque complica QA". Bruce Schneier enfatiza que criptografía correcta en protocolo importa más que algoritmo exótico; PKCE es estándar maduro.

Rate limiting por IP, usuario, y API key: token bucket o sliding window en API gateway (Kong, AWS API Gateway, Cloudflare). Umbrales diferenciados — login endpoint más estricto que catálogo público. Alertas cuando usuario boricua legítimo en 4G hit limit por NAT compartido; whitelist temporal con captcha.

Refresh token rotation, short-lived access tokens, y revocación centralizada. Almacene tokens en Keychain/Keystore, nunca AsyncStorage plano. OWASP MASVS cubre mobile storage — audite antes de publicar en App Store con datos de clientes PR.

Documente scopes mínimos: app de delivery en Carolina no necesita scope admin. Revise third-party SDKs en mobile — analytics kits exfiltrando PII violan compliance local y mainland. API segura habilita partnerships con retailers continentales; API abierta es incidente esperando deadline.