Un API gateway es un componente que actúa como punto de entrada único para las llamadas a distintos servicios internos, permitiendo centralizar autenticación, control de tráfico, registro y aplicación de políticas. No crea por sí mismo una buena arquitectura, pero ayuda a que los consumidores no tengan que conocer todos los detalles internos. Su valor real aparece cuando se diseña junto con contratos claros, dominios de servicio bien definidos y un modelo de gobierno que especifique quién puede cambiar qué regla y cuándo.

OAuth es un marco de autorización que permite a una aplicación acceder a recursos protegidos en nombre de un usuario u otro sistema, sin compartir directamente las credenciales principales. Se basa en la emisión de tokens con alcance y duración controlados, siguiendo flujos distintos según el tipo de cliente y el nivel de riesgo. Su correcta implantación reduce exposición de contraseñas y facilita revocar accesos, pero requiere entender bien roles, redirecciones y almacenamiento seguro para evitar crear nuevas vulnerabilidades.

Zero trust es un enfoque de diseño que parte de la idea de que ningún entorno es confiable por defecto, ni siquiera la red interna. En lugar de basarse en perímetros estáticos, evalúa cada petición según identidad, contexto y política de acceso, aplicando el principio de mínimo privilegio. En la práctica implica segmentar servicios, revisar autorizaciones de forma continua, registrar decisiones y asumir que puede haber intrusiones. No es un producto concreto, sino una manera de pensar y gobernar sistemas distribuidos.

Un patrón de integración es una solución recurrente a un tipo de problema al conectar sistemas, por ejemplo publicar eventos, sincronizar datos o exponer capacidades vía APIs. Documentar unos pocos patrones claros ayuda a que los equipos no reinventen la rueda en cada proyecto y a que se tomen decisiones coherentes sobre seguridad, rendimiento y mantenimiento. La clave está en elegir patrones que encajen con la realidad de tus sistemas y revisarlos periódicamente, retirando los que añaden complejidad sin aportar beneficios claros.

Un token de acceso es un dato emitido por un sistema de autenticación o autorización que representa, durante un tiempo limitado, el derecho de una entidad a acceder a determinados recursos. En arquitecturas de APIs suele viajar en cada petición para demostrar que el cliente está autorizado. Su diseño debe equilibrar seguridad y eficiencia: incluir la información necesaria sin exponer datos sensibles, tener una caducidad razonable y contar con mecanismos claros para revocarlo cuando cambian los permisos o se detecta un incidente.

Trazabilidad es la capacidad de reconstruir qué ha ocurrido con un dato o una operación a lo largo del tiempo, quién accedió, desde dónde y bajo qué condiciones. En integraciones de APIs es clave para responder a auditorías, analizar incidentes y demostrar que se han aplicado los controles acordados. No se trata solo de almacenar grandes volúmenes de logs, sino de registrar eventos relevantes de forma estructurada y accesible, con criterios claros de conservación y protección, evitando tanto la falta de información como el exceso inmanejable.

Segmentación es la práctica de dividir sistemas, redes o conjuntos de servicios en zonas con distintos niveles de exposición y control, de forma que un problema en una parte no se propague fácilmente al resto. En un entorno de APIs puede implicar separar servicios internos y externos, aplicar políticas diferentes según el tipo de dato o aislar integraciones especialmente sensibles. Una segmentación bien pensada reduce superficie de ataque y simplifica el análisis de riesgos, pero exige mantener una visión actualizada de dependencias y flujos entre segmentos.

Un registro de tratamiento es un documento, exigido por la normativa de protección de datos, donde se describen las actividades en las que se manejan datos personales, sus finalidades, bases jurídicas, categorías y plazos de conservación. Aunque parezca ajeno a la arquitectura técnica, se relaciona directamente con las integraciones: cada flujo de datos personales entre sistemas debería poder vincularse con una entrada en este registro. Esa conexión ayuda a alinear diseño técnico, obligaciones legales y controles de seguridad aplicados.