¿Cómo protegerías una API REST de extremo a extremo?

TLS en todas partes; HSTS.
Autenticación: OAuth 2.0/OIDC o JWT de vida corta + refresh; valida la firma, exp, aud, iss y los algoritmos permitidos.
Autorización en cada petición a nivel de objeto (evita IDOR); mínimo privilegio, scopes y roles.
Valida la entrada con esquemas (Pydantic); consultas parametrizadas; limita el tamaño de los payloads.
Rate limiting y detección de abuso; MFA y bloqueo en el login.
Secretos en un gestor de secretos; rota las claves.
Mensajes de error seguros (sin stack traces), headers de seguridad, CORS estricto.
Logs de auditoría, escaneo de dependencias, monitorización y alertas.