Todos los productos
Search

Este producto

    API Gateway:Integración con WAF

    Centro de documentos

    API Gateway:Integración con WAF

    Última actualización: Sep 03, 2026

    Este tema explica cómo configurar Web Application Firewall (WAF) para mejorar la seguridad de las API publicadas en API Gateway.

    Descripción general

    API Gateway ofrece funciones de seguridad esenciales, como autenticación, protección contra manipulaciones, prevención de reenvíos, validación de parámetros, firma de extremo a extremo y limitación de tráfico. No obstante, para defenderse contra ataques sofisticados en la capa de aplicación, como los del OWASP Top 10 o los ataques de fuerza bruta, puede integrar WAF. Esta integración previene intrusiones y filtraciones de datos, lo que protege mejor su negocio.

    Requisitos previos

    Procedimiento

    1. Vincule un nombre de dominio personalizado a un grupo de API. Para obtener más información, consulte Call an API by using a custom domain name.

      En la página de administración de Custom Domain Names en la consola de API Gateway, haga clic en Bind Domain Name en la esquina superior derecha para agregar un nombre de dominio personalizado. La tabla de nombres de dominio vinculados incluye a continuación columnas:

      • Custom domain name: el nombre de dominio personalizado.

      • Network type: por ejemplo, Internal Network.

      • WebSocket channel status: si el canal no está habilitado, haga clic en el enlace Enable para habilitarlo.

      • Validity status: por ejemplo, Normal.

      • Environment: por ejemplo, Default.

      • SSL certificate: muestra la fecha de vencimiento del certificado. Haga clic en Update Certificate para actualizarlo.

      • Automatic HTTP to HTTPS redirect: si no está habilitado, haga clic en el enlace Enable para activarlo.

      • Actions: incluye Delete Domain Name, Change Environment y Delete Certificate.

      Importante

      Dado que configurará WAF más adelante, utilice un registro TXT para la verificación del dominio.

    2. Vaya a la consola de WAF y agregue el nombre de dominio.

      WAF 2.0

      1. En el panel de navegación izquierdo, seleccione Management > Website Configuration y luego haga clic en Add Site. En la página Add Website, configure los siguientes parámetros:

        • Nombre de dominio: debe coincidir con el nombre de dominio vinculado al grupo de API Gateway en el paso 1.

        • Tipo de protocolo: debe coincidir con el tipo de protocolo de la API publicada en API Gateway.

        • Dirección del servidor de origen: seleccione Other addresses e introduzca el subdominio público asignado al grupo de API Gateway.

        En la página Add Website Information de WAF, configure los siguientes parámetros:

        • Domain: introduzca el nombre de dominio que desea proteger. Debe ser el mismo nombre de dominio personalizado del paso 1.

        • Protocol type: seleccione HTTP. El protocolo debe coincidir con el de la API publicada en API Gateway.

        • Origin server address: seleccione Other address e introduzca el subdominio público del grupo de API.

        • Server port: el puerto predeterminado para HTTP es 80.

        • Is there a Layer 7 proxy (such as Anti-DDoS or CDN) in front of WAF?: seleccione No.

        • Load balancing algorithm: seleccione IP hash.

        • Resource group: seleccione el default resource group.

      2. Haga clic en Next y siga las indicaciones para agregar el sitio web. Una vez agregado, cree un registro CNAME que apunte su nombre de dominio a la dirección CNAME de WAF. Esto enruta su tráfico a través de WAF.

        Para encontrar la dirección CNAME, inicie sesión en la consola de WAF. En el panel de navegación izquierdo, seleccione Website Access. En la pestaña Domain List, busque y expanda su nombre de dominio para consultar su dirección CNAME.

      WAF 3.0

      1. En el panel de navegación izquierdo, seleccione Access Management. En la pestaña CNAME Access, haga clic en Add. Consulte Use CNAME access to enable WAF protection for a website para completar el proceso.

        • En el paso Configure Listener, configure los siguientes parámetros:

          • Nombre de dominio: debe ser el mismo que el nombre de dominio vinculado al grupo de API Gateway en el paso 1.

          • Tipo de protocolo: debe coincidir con el tipo de protocolo de la API publicada en API Gateway.

        • En el paso Configure Forwarding Rule, configure los siguientes parámetros:

          • Origin domain name: introduzca el subdominio público del grupo de API.

        En la página Domain Names, para completar Configure Listener (paso 1), establezca los siguientes parámetros:

        • Domain Name: introduzca el nombre de dominio del sitio web que desea proteger.

        • Protocol Type: seleccione HTTP o HTTPS. Debe seleccionar como mínimo uno. Para HTTPS, puede habilitar SM-based HTTPS.

        • Is a Layer 7 proxy (such as Anti-DDoS or CDN) deployed in front of WAF?: seleccione Yes o No.

        • More Settings: permite habilitar IPv6 y una Dedicated IP.

        • Protection Resource: seleccione Shared Cluster o Shared Cluster with Intelligent Load Balancing.

        • Resource Group: seleccione un resource group de la lista desplegable.

    3. Después de completar estos pasos, deshabilite el acceso mediante el subdominio público en la consola de API Gateway. Esto evita que los usuarios omitan WAF para acceder directamente a sus API. Tras deshabilitar el acceso, las solicitudes directas al subdominio público fallarán, pero las solicitudes enrutadas a través de su nombre de dominio personalizado protegido por WAF no se verán afectadas.

      En la página de información básica del grupo de API en la consola de API Gateway, localice la sección Subdomain. Esta sección enumera el subdominio público (solo para pruebas, con un límite de 1,000 solicitudes por día; se recomienda vincular un nombre de dominio personalizado), el subdominio de autoinvocación y el subdominio interno de VPC. Junto a la lista de subdominios, haga clic en Disable Public Subdomain Access.