miji.beLa confianza cero es un modelo de seguridad que no confía implícitamente en ningún acceso, sea desde dentro o desde fuera de la red, y que exige autenticación / autorización / cifrado para todas las solicitudes. Se propuso para superar los límites de la defensa perimetral tradicional (que considera seguro lo que está dentro del cortafuegos).
Los principios de la confianza cero que se citan con frecuencia son tres: (1) la verificación explícita (autenticar / autorizar cada acceso en cada ocasión), (2) el acceso con privilegios mínimos (conceder solo los permisos mínimos necesarios) y (3) la suposición de vulneración (diseñar partiendo de que la red interna también está comprometida). Esta es la clasificación que Microsoft presenta como principios de la confianza cero a agosto de 2026, y la forma de contar los principios varía según la bibliografía que se consulte.
La aplicación de la confianza cero en un acortador de URL abarca muchos ámbitos. En el acceso a la API de administración, se exige una autenticación multicapa con OAuth 2.0 + MFA, no solo con la API key. Para las operaciones que cambian el destino de redirección, es obligatorio verificar la identidad de quien realiza la operación y registrar el motivo del cambio. La comunicación entre los microservicios internos también se cifra con mTLS (TLS mutuo) y se controla con una malla de servicios.
La URL corta protegida con contraseña también puede considerarse una implementación de la confianza cero. Al no permitir el acceso solo por conocer el enlace y exigir una autenticación adicional (introducir una contraseña), se reduce el riesgo en caso de filtración del enlace.
Como marco de implementación, la norma de referencia es NIST SP 800-207 (Zero Trust Architecture). También sirven de referencia los casos prácticos de las grandes empresas tecnológicas, como BeyondCorp de Google y el modelo Zero Trust de Microsoft. Es realista un enfoque que aplique los principios de la confianza cero de forma gradual según la escala del acortador de URL.