Peticiones raras en los logs de mi API: ¿me atacan?

2026-11-03

La cola de la panadería avanza despacio. Son las 8:40 de un martes y Álvaro sostiene el móvil con una mano y el ticket con número con la otra.

No debería mirar los logs ahora. Lo sabe. Pero la API de la escuela de cocina de su cliente lleva tres semanas en producción y, por costumbre, abre la terminal remota desde el teléfono, como quien comprueba si dejó el gas cerrado.

Y ahí están.

Líneas que no reconoce. Peticiones a rutas que él nunca creó: /.env, /admin, /phpmyadmin, algo con wp-login. Una detrás de otra, de direcciones que no le suenan de nada. A las 3:12 de la madrugada hay una ráfaga de veinte en un minuto.

«Número 37», dice la panadera. Él no oye. Tiene el pulgar parado sobre la pantalla y un pensamiento muy concreto: me están atacando y no me he enterado.

El pan se enfría mientras tú no respiras

Compra el pan por inercia. Camina hacia casa con la bolsa colgando y la cabeza ya en otra parte.

Piensa en la primera llamada que tendría que hacer. «Oye, creo que alguien ha entrado.» Piensa en la clienta, que le pagó la mitad por adelantado y le dijo, con una confianza que ahora le pesa: «Tú sabrás, yo de esto no entiendo».

Piensa en que lleva años trabajando solo. Sin equipo de seguridad, sin nadie a quien enseñarle la pantalla y preguntar: «¿Esto es normal?».

No es solo el miedo al ataque. Es el miedo a no saber distinguir. Quizá esas líneas sean ruido, el tipo de cosa que cualquier servidor expuesto a internet ve de vez en cuando. O quizá sean la primera señal de algo serio. Desde el móvil, en la acera, no hay manera de saberlo.

Y no saberlo cansa más que el propio susto.

La mañana que se va en mirar y remirar

En casa se sienta con el café sin probarlo. Abre el portátil. Pasa una hora recorriendo logs, saltando de una búsqueda a otra, leyendo foros donde cada respuesta contradice a la anterior. Uno dice que es normal. Otro que cambies todo ya. Un tercero te vende un servicio.

A las 10:30 no ha avanzado en el trabajo que tenía que entregar. A las 11:00 ha escrito dos veces el mensaje para su clienta y lo ha borrado dos veces. No quiere alarmarla sin motivo. Tampoco quiere callarse si hay motivo.

El día se le va así, en un vaivén entre «seguro que no es nada» y «¿y si sí lo es?». Cuando cierra el portátil por la tarde no ha resuelto nada, pero está agotado como si hubiera corrido.

Se da cuenta de algo incómodo: no sabe qué había revisado ya y qué no. Lo tenía todo en la cabeza, a medias, y a la cabeza no se le pueden pedir cuentas.

El momento en que cambia la pregunta

Esa noche, hablando por teléfono con una amiga que trabaja de administradora de sistemas, Álvaro le cuenta lo de los logs. Ella no se alarma. Tampoco le suelta un sermón.

—A ver —le dice—, ¿tú tienes una lista de lo que has comprobado antes de abrir esa API al mundo?

Él se queda callado.

—Más o menos —contesta.

—«Más o menos» no se puede mirar el martes a las ocho y media en la cola del pan —se ríe ella, sin mala intención.

No le da una solución mágica. Le da otra pregunta, y esa es la que le cambia el día siguiente: ya no es «¿me están atacando?», que no se puede responder con el estómago encogido. Es «¿qué he revisado y qué me falta por revisar?». Esa sí tiene respuesta. Esa se puede ordenar, marcar, cerrar.

Al colgar, siente algo parecido a cuando por fin pones todos los papeles de la mesa en una carpeta. Los papeles son los mismos. Tú ya no.

Un martes distinto

Imagina otro martes, semanas después. Álvaro está otra vez en la cola de la panadería, 8:40, el mismo olor a pan caliente.

Abre los logs. Ve las mismas rutas raras, porque esas siguen apareciendo. Pero ahora las mira de otra forma. Sabe qué cosas tiene comprobadas. Sabe cuáles están cerradas y puede decir en voz alta, si hace falta, qué revisó y cuándo. Si algo no encaja, lo apunta en su lista, no en su cabeza.

Guarda el móvil. Pide dos barras y una de pan de centeno. Cuando llega a casa, el café aún está caliente y la mañana todavía es suya.

Si tu clienta le pregunta algún día «¿esto es seguro?», no tendrá que improvisar una frase tranquilizadora. Podrá enseñarle un informe sencillo, con lo revisado y lo pendiente, escrito con calma.

Los logs raros no se van a ir. Lo que cambia es que ya no te quitan la mañana.

Si te has reconocido en la cola del pan

Si alguna vez has mirado tus logs con el pulso acelerado y has pensado «no sé si esto es normal», quizá lo que te falta no sea más miedo ni más foros, sino un método que te diga qué revisar y en qué orden.

Para eso hemos preparado Launch Without the 2 a.m. Doubt – REST API Security Checklist Kit: una revisión de 58 puntos con PDF y hoja XLSX de seguimiento, pruebas con curl, un script que busca rutas sin autenticación y una plantilla de informe para tu cliente, para Node/Express y Python. El kit está en inglés. Tiene 30 días de garantía: si no te ayuda, te devolvemos el dinero, sin preguntas.

Ver el kit de revisión de seguridad para tu API

Una historia ilustrativa, escrita con ayuda de IA.