c3.6 Asegura la identidad de clientes
No construya la autenticación a mano: las páginas de login propias son propensas a inyección SQL y fallos de autenticación rota. Use un servicio de identidad administrado como Amazon Cognito para el login de clientes y agregue protección contra apropiación de cuentas de AWS WAF en el endpoint de login.
Guía de implementación
Use un servicio de identidad de clientes administrado
El código de autenticación propio es una fuente frecuente de vulnerabilidades: inyección SQL contra las tablas de usuarios y otros fallos de autenticación rota. Use Amazon Cognito para el login de clientes (CIAM): provee autenticación segura basada en estándares (SAML, OpenID Connect, OAuth 2.0), MFA opcional, single sign-on y federación social. Proveedores de identidad de socios como Okta, Auth0 y Ping Identity también están en el AWS Marketplace.
Defienda el endpoint de login
Agregue AWS WAF Fraud Control – Account Takeover Prevention (ATP) para interceptar comportamientos maliciosos de login como el credential stuffing con credenciales filtradas y los intentos de adivinación de contraseñas.
Cómo encaja
Cómo validar
- ¿Usa un servicio de identidad administrado (como Amazon Cognito) en vez de código de autenticación propio?
- ¿El MFA está disponible para sus clientes?
- ¿Ha agregado protección contra apropiación de cuentas (AWS WAF ATP o similar) en el endpoint de login?
Amenazas que atiende
- Las páginas de autenticación propias son un objetivo común de ataques de inyección SQL y de autenticación rota que pueden exponer o evadir las credenciales de los clientes.
- El credential stuffing y la adivinación de contraseñas contra el endpoint de login pueden apropiarse de cuentas de clientes si no se bloquean activamente.
Servicios AWS
Amazon Cognito 
AWS WAF Precios
Cognito se cobra por usuario activo mensual (MAU) en sus planes de funciones Lite, Essentials y Plus; el nivel Essentials (el predeterminado para nuevos user pools) incluye 10,000 MAU gratuitos. Vea precios de Cognito. WAF ATP tiene una tarifa mensual más un cargo por cada mil intentos de login analizados; vea precios de AWS WAF.