En un cluster donde los pods viven minutos y las IPs se reciclan en segundos, la identidad no puede depender ni de la red ni de secretos estáticos inyectados al arrancar. SPIFFE define cómo nombrar cargas de trabajo de forma verificable y SPIRE implementa cómo emitir esa identidad en tiempo de ejecución. Entender ambos es ver el engranaje que conecta PKI, mTLS y Zero Trust.
El tráfico entre servicios dentro de un cluster se ha convertido en el nuevo perímetro. mTLS resuelve la pregunta de qué servicio está al otro lado de la conexión sin depender de tokens que se pueden robar y reutilizar. Entender su mecánica, su coste operativo y su encaje en la malla es condición previa para cualquier arquitectura Zero Trust seria.
La historia de cómo una de mis aplicaciones autoalojadas se caía cada pocos días, el ataque DoS que había detrás, y cómo monté CrowdSec como IPS para detectarlo y bloquearlo de forma automática. Con todos los comandos y la configuración para que puedas replicarlo.
Un proveedor de identidad moderno no es un login con esteroides, es un componente que concentra autenticación, federación, ciclo de vida de usuarios, MFA y políticas. Entender qué comparten Keycloak y Okta, en qué se diferencian de Auth0, Entra ID o Cognito, y qué problemas no resuelve un IdP es condición previa para elegir uno.
Los microservicios rompieron la idea del perímetro único. API Gateway, BFF, Service Mesh y Sidecar son cuatro patrones que reparten las responsabilidades de seguridad entre el norte-sur y el este-oeste. Entender qué resuelve cada uno, dónde se solapan y cómo se componen es lo que diferencia una arquitectura defendible de una colección de proxies.
XACML no ganó la guerra de la sintaxis, pero su arquitectura conceptual PEP/PDP/PAP/PIP sigue siendo la referencia implícita de todo motor de política moderno. Entender XACML es entender por qué OPA, OpenFGA y Cedar resuelven el mismo problema con la misma forma, solo con una sintaxis más humana.
CASBIN, OPA y OpenFGA representan tres filosofías distintas de externalizar la lógica de autorización fuera del código de negocio. Cada uno responde a un modelo mental diferente y tiene un perfil operativo propio. Elegir entre ellos es menos una cuestión de funcionalidad que de cómo quieres que tu plataforma razone sobre permisos.
RBAC, ABAC y ReBAC son los tres paradigmas que dominan la autorización moderna. Cada uno responde a un tipo distinto de complejidad organizativa y técnica. Elegir mal el modelo produce tablas de permisos inmanejables, auditorías imposibles o políticas que nadie sabe explicar.
Origen, mecanismo y consecuencias de Proof Key for Code Exchange, la extensión que convirtió Authorization Code en el flujo seguro por defecto para clientes públicos y, finalmente, para todos.
Análisis del diseño de OpenID Connect, la capa de identidad que completa a OAuth 2.0, sus garantías criptográficas y los errores de integración que aparecen con mayor frecuencia.