la validación de tokens Bearer en API Gateway

Hola Maria Martinez

Sí, es un comportamiento bastante común cuando se validan JWTs y existe una pequeña diferencia de tiempo entre los sistemas que emiten el token y los que lo validan. En los autorizadores personalizados basados en Lambda, una práctica recomendada es aplicar un margen de tolerancia (clock skew) durante la validación de los campos exp, nbf y, en algunos casos, iat, permitiendo unos segundos adicionales antes de considerar el token como inválido.

Dependiendo de la librería que utilices para validar el JWT, normalmente existe un parámetro como clockTolerance, clockSkew o similar que permite definir este margen. Un valor de entre 60 y 300 segundos suele ser suficiente para absorber pequeños desfases de reloj sin comprometer significativamente la seguridad. Además, te recomiendo verificar que todas las instancias involucradas estén sincronizadas mediante NTP para minimizar este tipo de incidencias en origen.

En resumen, la mejor solución es combinar una correcta sincronización horaria con una tolerancia controlada durante la validación del token en la función Lambda. Esto suele eliminar los errores 401 intermitentes provocados únicamente por diferencias de tiempo entre sistemas.

Si todo está bien, no olvide compartir su experiencia sobre este problema haciendo clic en "Aceptar respuesta". Si necesita más información, no dude en dejar un mensaje. ¡Estaremos encantados de ayudarle