AT.BackEnd.Api 2.6.0

AT.BackEnd.Api

Este nuget expone una configuración transversal para las API Rest

Getting Started

1. Proceso de instalación
2. Software dependencies
3. Cómo usarlo?
4. API references

⚙️ Proceso de instalación:

Instale el nuget usando el siguiente comando.

.NET Cli

dotnet add package AT.BackEnd.Api --version 2.6.0

Nuget

NuGet\Install-Package AT.BackEnd.Api -Version 2.6.0

Package reference

<PackageReference Include="AT.BackEnd.Api" Version="2.6.0" />

🛠️Dependencias

net10.0

• Asp.Versioning.Http [10.0.1]
• Asp.Versioning.Mvc [10.0.1]
• Asp.Versioning.Mvc.ApiExplorer [10.0.1]
• AT.BackEnd.Application.CQRS [2.1.0]
• AT.Core.Entities [1.3.1]
• FluentValidation [12.1.1]
• FluentValidation.DependencyInjectionExtensions [12.1.1]
• Scalar.AspNetCore [2.16.17]
• Serilog.AspNetCore [10.0.0]
• Microsoft.AspNetCore.OpenApi [10.0.10]
• Meziantou.Analyzer [3.0.122]
• SonarAnalyzer.CSharp [10.31.0.145097]
• Roslynator.Analyzers [4.15.0]

✈️ Cómo usarlo?

Se recomienda instalar este nuget en un proyecto ASP.NET API Core

Program.cs

Registrar los servicios que se exponen en el metodo AddATApiCommon

 public static void Main(string[] args)
 {
     var builder = WebApplication.CreateBuilder(args);
     builder.Services.AddATApiCommon(builder.Configuration);
            ⁝

Configurar los servicios por defecto.

            ⁝
    var app = builder.Build();
    app.ConfigureATApiCommon(new SettingsApi()));
            ⁝

Configurar middleware UserContext.

            ⁝
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseMiddleware<UserContextMiddleware>(); 

    app.MapControllers();
            ⁝

🚦 Limite de peticiones

Viene activo sin hacer nada: AddATApiCommon registra el limitador y ConfigureATApiCommon lo pone en el pipeline. No hay que llamar a UseRateLimiter ni acordarse del orden, de modo que ninguna API se queda sin limite por olvido.

Como corre antes de UseAuthentication, las peticiones se cuentan por IP — que es lo que cubre el abuso desde fuera. Si una API necesita contarlas por usuario, debe poner ella misma app.UseRateLimiter() despues de UseAuthentication.

Para subir o bajar el limite no hace falta tocar codigo: basta con la configuracion (tabla mas abajo). Para apagarlo, RateLimiting:Enabled = false.

Los endpoints que se pueden atacar por repeticion (login, refresh, OTP, recuperacion de contrasena) llevan ademas la politica estricta:

    [EnableRateLimiting(AtRateLimitPolicies.Sensitive)]   // en un controller
    group.MapPost("/SignIn", HandleSignIn)
         .RequireRateLimiting(AtRateLimitPolicies.Sensitive);   // en minimal endpoints

Configuracion (appsettings.json o App settings del App Service):

Al rechazar responde 429 con Retry-After y el mismo sobre ApiResponse del resto de la API.

🔐 HTTPS obligatorio (HSTS)

ConfigureATApiCommon emite Strict-Transport-Security fuera de desarrollo, para que el navegador no vuelva a intentar HTTP contra la API. En desarrollo se omite a proposito: la politica se cachea por dominio y dejaria localhost atado a HTTPS para cualquier otro proyecto de la maquina.

Dos comportamientos de ASP.NET que conviene conocer al probarlo:

• La cabecera solo viaja en respuestas HTTPS; una peticion HTTP recibe antes el 307 de UseHttpsRedirection.
• localhost, 127.0.0.1 y [::1] estan excluidos por defecto, asi que contra la maquina local no se vera aunque el entorno sea Production.

MaxAgeDays arranca en 30 y no en 365 a proposito: mientras se valida el despliegue, un error de certificado se corrige en semanas en vez de dejar clientes sin acceso durante un ano. IncludeSubDomains y Preload quedan apagados porque sus efectos son dificiles de revertir.

🔒 Cabeceras de seguridad

ConfigureATApiCommon agrega X-Content-Type-Options, X-Frame-Options, Referrer-Policy, X-Permitted-Cross-Domain-Policies y, en las respuestas que no son HTML, una Content-Security-Policy restrictiva. No pisan un valor que la aplicacion haya definido antes, y la interfaz de Scalar queda excluida de la CSP para que siga funcionando.

🎓 Créditos

Nombre del Paquete: AT.BackEnd.Api
Versión: 2.6.0

Autor

• Nombre: Dayser José Granados Pineda
• Correo Electrónico: djpgranados@gmail.com | daysergranados@hotmail.com

Licencia

Este paquete está bajo la licencia MIT License

Copyright (c) 2026 Dayser José Granados Pineda

Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE..

Contacto

Si tienes comentarios, problemas o solicitudes, ¡no dudes en ponerte en contacto conmigo!