¿Qué es el gobierno de las API?

El gobierno de las API establece el marco y la estrategia que informan la gestión de las API. El objetivo del gobierno de las API es producir API detectables, seguras, escalables y reutilizables. En resumen, un gobierno eficaz de las API produce API de mayor calidad y valor y una mejor experiencia para el usuario.

El gobierno de las API promueve la coherencia dentro del ecosistema de las API de una organización para garantizar que las API se adhieren a una norma común y se alinean con la estrategia empresarial. Estas normas y políticas se aplican mediante comprobaciones y validaciones. Por ejemplo, un gobierno eficaz ayuda a garantizar que las API contengan los metadatos necesarios para que los socios internos y externos las utilicen fácilmente.

Muchas organizaciones, especialmente las que están experimentando una transformación digital, necesitan integrar los sistemas heredados con los más nuevos. Al establecer y aplicar estándares para elementos como los protocolos y los lenguajes, el gobierno de las API ayuda a garantizar que las API puedan funcionar sin problemas en diferentes entornos y sistemas. Los modelos de gobierno suelen tener subconjuntos de reglas para diferentes protocolos de las API o casos de uso que permiten a una organización adaptar el gobierno en función de necesidades e iniciativas empresariales específicas.

El gobierno de las API también ayuda a reducir la redundancia (cuando los equipos crean nuevos servicios en lugar de reutilizar las integraciones existentes) y evita que una organización desarrolle o integre servicios que no necesita. Esto ayuda a reducir los costes generales asociados a la gestión de las API. El gobierno también ayuda a reducir la dispersión de API (cuando numerosas API desarrolladas y gestionadas de forma independiente se distribuyen entre varios departamentos) y las incoherencias y vulnerabilidades de seguridad que puede causar la dispersión de las API.

El gobierno de las API es importante porque ayuda a garantizar la disponibilidad y la seguridad de las API a medida que los entornos de TI se vuelven más complejos y las organizaciones dependen más de microservicios y aplicaciones (como las soluciones SaaS) distribuidas en varios entornos. El gobierno de las API permite a una organización exponer de forma segura las capacidades y funciones empresariales, poniéndolas a disposición de los clientes internos y externos para su consumo.

Esto es especialmente cierto para las grandes empresas, muchas de las cuales utilizan miles de API¹. Un gobierno eficaz de las API garantiza que el programa de API de una organización funcione de manera eficiente y coherente, y se alinee con los objetivos empresariales. Por ejemplo, permite a una organización crear API que pueden utilizarse para integrar sistemas heredados en servicios compuestos, así como para interactuar con aplicaciones y servicios más modernos alojados en la nube.

El gobierno de las API también es importante porque ayuda a reducir la redundancia y mitigar los riesgos que acompañan a la expansión de las API. El gobierno facilita a las partes interesadas saber qué capacidades ya existen (y cómo utilizarlas) y qué funciones podrían necesitar desarrollarse. Las políticas de gobierno de API ayudan a estandarizar el diseño y el desarrollo de las API, garantizando que las API recién desarrolladas funcionen en concierto con otras API modulares. El gobierno también ayuda a garantizar que las API sigan cumpliendo con los organismos reguladores y que las organizaciones promulguen y apliquen medidas de seguridad adecuadas.

El gobierno de las API es especialmente importante para las organizaciones que persiguen una estrategia de API primero. En una estrategia de API primero, las API se tratan como activos empresariales estratégicos a los que se da prioridad durante el proceso de desarrollo, en lugar de como algo a lo que hay que atender después del desarrollo de la aplicación. Las políticas de gobierno pueden ayudar a garantizar que todas las API sean modulares e interoperables, y que cualquier nueva API que se añada al entorno aporte un nuevo valor y funcione según lo previsto.

Aunque estos términos están relacionados y son esenciales para el estado de la API en todas las fases del ciclo de vida de la API, son conceptos distintos. El gobierno de las API establece las normas y buenas prácticas que proporcionan una estrategia y un marco de gestión de las API. La gestión de las API es la aplicación de los principios de gobierno de las API en todo el portfolio de API, centralizando el control y el análisis. Una gestión eficaz de las API garantiza que la organización siga las políticas y protocolos de seguridad, como el uso de OAuth y el cifrado.

La gestión de las API garantiza la coherencia y el control en todo un entorno de API. Es crucial para garantizar la calidad de las API y ayudar a las organizaciones a liberar todo el potencial de las API. Una plataforma de gestión de las API centraliza el control y utiliza un conjunto de herramientas para optimizar la implementación, la documentación y el intercambio de información entre equipos.

Las plataformas de gestión suelen incluir una pasarela API, un portal para desarrolladores, documentación de API, un catálogo de API, herramientas de análisis y un componente de gestión del ciclo de vida de la API. Las plataformas de gestión de las API permiten a las organizaciones crear, compartir, monitorizar y ajustar rápidamente las API, obtener una mayor observabilidad del ciclo de vida, ampliar el alcance de las API, monetizar mejor las API y mucho más.

La seguridad de las API se refiere a las políticas y procedimientos que protegen las API de una organización contra actores maliciosos, uso indebido y amenazas de ciberseguridad. Los principios establecidos en una estrategia de gobierno de las API guían las políticas de seguridad de las API.

Por ejemplo, las políticas de seguridad pueden dictar que siempre se utilice una pasarela API para desacoplar los servicios de back-end y las aplicaciones de front-end para ayudar a bloquear los ataques de inyección SQL. La política puede requerir que se utilice un método de autenticación estándar en todos los casos, o definir diferentes métodos para diferentes tipos de datos.

El gobierno eficaz de las API abarca y da forma a la forma en que una empresa aborda tanto la gestión de las API como la seguridad de las API. El gobierno de las API define las políticas que ayudan a una organización a utilizar sus API de manera eficiente, lo que incluye determinar cómo gestionar las API y mantenerlas a salvo de las amenazas de ciberseguridad.

Se necesita una visión completa de todo el panorama de API de una organización para crear estándares de API claros y coherentes. Cuantas más API se utilicen, más complejo puede volverse este ejercicio. Para garantizar políticas eficaces, las organizaciones pretenden seguir ciertas prácticas recomendadas en su diseño de gobierno, entre ellas:

Una de las principales razones para emplear el gobierno de las API es garantizar que la miríada de API que utiliza una organización sea de alta calidad, racionalizada y estandarizada. Esto podría incluir la adopción de una norma de codificación como la especificación OpenAPI (OAS), que define un formato estándar para las API REST. La aplicación de estas normas también puede mejorar la escalabilidad de una API.

También es importante que los campos de metadatos de las API sean coherentes para garantizar que todas las API sean fácilmente detectables y reutilizables. Las organizaciones deben almacenar estas políticas y procedimientos en un lugar centralizado y accesible para que todas las personas de la organización que necesiten acceder a ellos puedan hacerlo. Estos estándares deben utilizarse en toda la empresa para garantizar que todas las API sigan el mismo modelo durante todo el ciclo de vida de las API.

Comprobar que las API siempre cumplen las directrices de gobierno sería una tarea ardua si alguien tuviera que comprobar cada una de ellas manualmente. Las herramientas de gobierno de autoservicio y las aplicaciones de gestión de las API pueden validar y aplicar las políticas de gobierno de una organización en todos los entornos, y la automatización puede hacer que el proceso sea mucho más fiable y eficiente.

Al incorporar comprobaciones automatizadas de gobierno en los procesos de revisión de las API (por ejemplo, garantizando que los desarrolladores utilicen un modelo de datos común), las organizaciones pueden asegurarse de que las API se adhieren a las directrices desde el desarrollo hasta la implementación y el uso. La automatización no sustituye necesariamente a las revisiones manuales (las dos son más eficaces juntas), pero la automatización ayuda a eliminar errores del proceso de inspección, aumentar la velocidad de entrega y hacer que las políticas de gobierno sean más eficientes.

Las organizaciones a menudo prueban, modifican, amplían y reimplementan las API para hacerlas más eficientes o para optimizar los flujos de trabajo a medida que el negocio cambia y escala. Para garantizar que las API cumplan con las políticas de gobierno en todas las versiones y para rastrear los cambios entre versiones, el control de versiones de las API debe ser riguroso y consistente.

Asegurarse de que las iteraciones de las API sean transparentes y delimiten claramente los cambios que son o no compatibles con una versión anterior ayuda a ahorrar tiempo, dinero y dolores de cabeza. El seguimiento de las versiones principales, secundarias y de parche se considera una buena práctica.²

Las estructuras de gobierno no son útiles si son tan rígidas que impiden a una organización utilizar las API de las que de otro modo se beneficiaría, o si ralentizan considerablemente la velocidad de desarrollo. En algunos casos, las reglas de gobierno escritas con un caso de uso en mente pueden no ser apropiadas para otro caso de uso. Por ejemplo, una API que se utiliza en un portal interno para desarrolladores puede necesitar protocolos diferentes a los de una destinada a un mercado público.

Lo mismo ocurre con las distintas líneas de negocio. Diferentes partes de una organización pueden utilizar las mismas API de diferentes maneras. Por ejemplo, un equipo puede necesitar un código de error personalizado cuando se activan ciertas condiciones que no son relevantes o necesarias para otros equipos. Las políticas de gobierno deben ser lo suficientemente flexibles como para permitir tales excepciones y no deben obstaculizar DevOps y otras metodologías ágiles.

Para que las políticas de gobierno de API funcionen según lo previsto, las organizaciones deben capacitar a los equipos de DevOps y otras partes interesadas para implementarlas sin intervención externa. Hacer cumplir las políticas de gobernanza puede implicar formación, crear nuevas herramientas API para facilitar el gobierno y hacer que la información sobre las políticas de gobierno sea lo más accesible posible. En un entorno de primero API, este nivel de capacidad de descubrimiento es especialmente importante.

A medida que las organizaciones avancen en su transformación digital, probablemente utilizarán una mayor cantidad de API. Administrar una cartera compleja de API, con muchas dependencias, puede complicar la creación de políticas generales de gobierno de las API sin sofocar la creatividad y el desarrollo. La automatización de partes del proceso de gobierno, como la implementación y la monitorización de API, las verificaciones y la validación, puede ayudar a agilizar este aspecto del gobierno de las API. La automatización también puede ayudar a promover la coherencia entre las políticas y estrategias de gobernanza de una empresa a medida que el entorno de API se vuelve más complejo.

Otro desafío importante en el gobierno de las API es crear políticas de seguridad que protejan las API de una empresa. Las violaciones de seguridad de las API pueden provocar fugas de datos y otros incidentes que ponen en riesgo el negocio y los clientes. La incorporación de políticas de seguridad sólidas en el gobierno de las API y la implementación de controles automatizados para garantizar que se cumplan las políticas pueden ayudar a proteger datos confidenciales y mantener los sistemas en funcionamiento sin problemas.

Las políticas de gobierno de las API deficientes también pueden ser un obstáculo para el desarrollo, ya que introducen pasos adicionales en el proceso de desarrollo. Al asegurarse de que las políticas y comprobaciones de gobierno se producen en todas las fases del ciclo de vida de una API, una organización puede evitar los cuellos de botella que se crean cuando las comprobaciones de cumplimiento se producen esporádicamente o sólo antes de la implantación.

Redactar políticas de gobierno teniendo en cuenta la flexibilidad y la capacitación también ayuda a mitigar este desafío, al igual que comprender que los líderes de gobierno deben revisar, probar y cambiar las políticas de gobierno si no funcionan según lo previsto.

El gobierno de las API establece las mejores prácticas y estándares que ayudan a las organizaciones a crear entornos de API que impulsan la innovación y el crecimiento. Las políticas implementadas correctamente crean un entorno consistente y seguro que permite a una organización integrar sistemas y bases de datos heredados, así como también crear nuevos servicios compuestos.

Además, el gobierno de las API puede: