API Gateway

La puerta de entrada del sistema, encargada de preocupaciones transversales como autenticación, routing y control del tráfico.

¿Qué es un API Gateway?

Es el componente que recibe las peticiones externas y actúa como punto de entrada único o principal hacia el ecosistema backend.

No es el lugar donde vive la lógica de negocio, sino donde se resuelven responsabilidades transversales de borde.

Responsabilidades principales

Autenticación y validación inicial

Por ejemplo, verificar JWTs o tokens de acceso.

Routing

Enviar cada request al destino correcto: BFF, servicio interno o endpoint específico.

Rate limiting

Proteger el sistema frente a abuso o sobrecarga.

CORS, TLS y políticas de borde

Manejar aspectos técnicos propios de la frontera del sistema.

Logging y correlación

Generar o propagar correlationId, registrar requests y facilitar trazabilidad.

Qué no debería hacer

No debería contener lógica de negocio

Si el gateway empieza a decidir reglas funcionales, deja de ser una capa transversal y se vuelve difícil de mantener.

No debería convertirse en un backend monolítico

No debe agregar respuestas complejas, transformar DTOs de pantalla o reemplazar al BFF.

No debería conocer demasiado del dominio

Debe saber enrutar y proteger, no modelar el negocio.

Relación con el BFF

En esta arquitectura, el gateway normalmente envía la mayoría de requests al BFF, que es quien adapta y orquesta.

Una forma simple de distinguirlos es:

Gateway — Controla entrada, seguridad de borde y routing.

BFF — Adapta la respuesta al frontend y compone datos de negocio.

Beneficios

• Centraliza preocupaciones transversales
• Simplifica el acceso desde frontend
• Mejora control y seguridad
• Facilita observabilidad de entrada
• Desacopla cliente y backend interno

Riesgos si se usa mal

• Lógica de negocio en el borde
• Exceso de configuración difícil de gobernar
• Acoplamiento con detalles de dominio
• Gateway demasiado “inteligente”

Tecnologías comunes

• Kong
• AWS API Gateway
• Express Gateway
• NGINX con plugins
• Soluciones cloud de edge/API management

Ejemplo práctico

Cuando un usuario autenticado pide ver su perfil:

1. El frontend llama al gateway
2. El gateway valida el token
3. Aplica políticas básicas
4. Enruta al BFF
5. Propaga contexto y correlación

No arma la respuesta final del perfil; solo permite que el request entre correctamente al sistema.

Resumen

El API Gateway es la puerta de entrada del sistema. Su valor está en centralizar autenticación, routing y políticas de borde, no en convertirse en el cerebro funcional de la aplicación.