Mi pregunta es sobre la diferencia entre las expectativas de seguridad habituales de una aplicación web (destinada a la navegación del navegador) y el servicio web SOAP.
Para una aplicación web, una solución aceptable para la comunicación segura es HTTPS (nivel de transporte). Sin embargo, en las grandes empresas, la aplicación web está detrás de un proxy inverso / equilibrador de carga (y un firewall de aplicación web encima). El proxy inverso puede descifrar la comunicación, y esperamos que descifre la comunicación para analizar el tráfico. Luego lo envía a la aplicación web en el lan privado (a veces en HTTP simple).
Para el servicio web SOAP seguro, se puede usar HTTPS, pero como se explica en enlace , El cifrado XML (nivel de mensaje) se promueve para evitar que los puntos intermedios, como el enrutador de mensajes SOAP, tengan acceso al mensaje. Luego, el mensaje SOAP se envía (aún encriptado) al proveedor de servicios correcto en el lan privado (solo entonces el mensaje puede ser descifrado).
En mi opinión, el proxy inverso tiene la misma posición que el enrutador de mensajes SOAP.
En este caso, ¿por qué habría mayores expectativas de seguridad para los servicios web SOAP? ¿O me equivoco y mi visión de la arquitectura de aplicaciones web es una seguridad débil?