Amazon API Gateway passa a suportar mTLS para integrações com o backend

O que mudou no Amazon API Gateway

A AWS anunciou suporte a Autenticação Mútua TLS (mTLS) para integrações com o backend no Amazon API Gateway. Até então, quando o API Gateway precisava se identificar para um serviço de backend durante o handshake TLS, ele apresentava apenas um certificado autoassinado — gerado e controlado pela própria AWS, sem possibilidade de customização. Agora, é possível configurar um certificado emitido por uma autoridade certificadora de confiança da sua organização.

Como funciona na prática

Com a nova funcionalidade, o fluxo de autenticação funciona da seguinte forma: ao receber uma requisição, o API Gateway apresenta ao endpoint de integração um certificado gerenciado pelo Gerenciador de Certificados da AWS (ACM). O backend, por sua vez, valida esse certificado durante o handshake para confirmar que a conexão realmente parte do seu API Gateway — e não de outra origem.

Para isso, existem duas formas de obter o certificado via ACM:

• Importar um certificado já existente na sua Infraestrutura de Chave Pública (PKI) corporativa para dentro do ACM;
• Solicitar que o próprio ACM emita e gerencie um certificado por meio da Autoridade Certificadora Privada da AWS (AWS Private CA).

Um ponto importante: quando um certificado é reimportado ou renovado no ACM, o API Gateway propaga a atualização automaticamente, sem necessidade de reimplantar a API e sem downtime. Isso simplifica bastante a gestão do ciclo de vida dos certificados em ambientes de produção.

mTLS completo: do cliente ao backend

O API Gateway já oferecia suporte a mTLS para conexões de entrada — ou seja, para autenticar os clientes que chamam a API. Com essa novidade, passa a ser possível aplicar autenticação mútua nos dois sentidos: tanto na conexão cliente → API quanto na conexão API → backend.

Essa capacidade de mTLS de ponta a ponta é um requisito comum em setores como serviços financeiros, saúde e outros ambientes regulados ou que adotam arquiteturas de confiança zero (zero-trust).

Disponibilidade e formas de configuração

O mTLS para integrações com o backend está disponível em todas as regiões comerciais da AWS e nas regiões GovCloud (EUA), onde o API Gateway REST APIs já está presente. A configuração pode ser feita por três caminhos:

• Console do API Gateway;
• AWS CLI;
• AWS CloudFormation.

Para começar, a AWS disponibiliza a documentação oficial do Amazon API Gateway e um post técnico no blog da AWS com mais detalhes sobre a implementação.

Fonte

Amazon API Gateway now supports mutual TLS for backend integrations (https://aws.amazon.com/about-aws/whats-new/2026/09/amazon-api-gateway-mutual-tls-backend/)