Uma instituição financeira está implementando uma arquitetura de segurança em camadas para proteger suas APIs, que são consumidas por parceiros externos. A equipe de segurança propôs as seguintes medidas:
- I. Utilizar OAuth 2.0 com o fluxo client credentials para autenticação entre serviços, emitindo tokens JWT com tempo de expiração curto e assinatura assimétrica.
- II. Implementar rate limiting baseado no endereço IP de origem, com limites fixos por minuto, independentemente do usuário autenticado.
- III. Adotar o padrão OpenAPI para descrever os endpoints e validar automaticamente as requisições contra o esquema, rejeitando payloads que não estejam em conformidade.
- IV. Armazenar as chaves privadas usadas para assinar os tokens JWT em variáveis de ambiente nos servidores de aplicação, garantindo que apenas processos autorizados tenham acesso.
Considerando as boas práticas de segurança para APIs e a mitigação de riscos como token leakage, replay attacks e injection attacks, quais medidas estão corretas e contribuem efetivamente para a segurança da solução?
