De la seguridad en Servicios Web para .Net - Willy .Net

Ilustración 10.4Configurar la seguridad de un servicio Web ASP.NETConfigurar los parámetros de IISPara obtener información pormenorizada acerca de cómo configurar los parámetrosde seguridad de IIS, consulte el apartado "Configurar la seguridad" del capítulo 8,"Seguridad de ASP.NET"; la información que encontrará es válida también para losservicios Web ASP.NET.Configurar los parámetros de ASP.NETLos parámetros de configuración de la aplicación se almacenan en archivosWeb.config, ubicados en el directorio raíz virtual del servicio Web. Es precisoconfigurar los siguientes parámetros:1. Configure la autenticación. Debe establecerse para cada servicio Web (noen el archivo Machine.config) del archivo Web.config ubicado en el directorioraíz virtual del servicio Web.Nota: los servicios Web no son compatibles actualmente con la autenticaciónmediante Formularios y la autenticación de Passport. Si decide utilizar laautenticación personalizada o de mensajes, establezca el modo en ninguna.2. Configure la suplantación y la autorización. Si desea obtener informacióndetallada, consulte "Configurar la seguridad" en el capítulo 8, "Seguridad deASP.NET."Más informaciónPara obtener más información acerca de la autorización mediante direcciones URL,consulte "Notas acerca de la autorización mediante direcciones URL" en el capítulo8, "Seguridad de ASP.NET".Proteger recursosDebería utilizar las mismas técnicas que se describen en el capítulo 8, "Seguridad deASP.NET", para proteger los recursos Web Además, valore la posibilidad de eliminarlos protocolos HTTP-GET y HTTP-POST del archivo Machine.config de losservidores de producción cuando utilice los servicios Web.Deshabilitar HTTP-GET y HTTP-POSTDe forma predeterminada, los clientes se comunican con los servicios Web ASP.NETmediante tres protocolos: HTTP-GET, HTTP-POST y SOAP a través de HTTP.Deshabilite la compatibilidad para los protocolos HTTP-GET y HTTP-POST en elnivel de equipo de los equipos de producción en los que no sean necesarios. De estaforma conseguirá evitar posibles problemas de seguridad que podrían permitir queuna página Web mal intencionada obtenga acceso a un servicio Web interno que seejecute detrás de un servidor de seguridad.Nota: deshabilitar estos protocolos implica que los clientes nuevos no podráncomprobar un servicio Web XML mediante el botón Invocar de la página deprueba del servicio Web. En su lugar, deberá crear un programa cliente decomprobación. Para hacerlo, agregue una referencia al servicio Web mediante elsistema de desarrollo Microsoft Visual Studio® .NET. Quizás desee mantener