¿Qué es un payload?
Respuesta rápida: ¿qué es un payload?
En el contexto de las API, el término payload se utiliza con frecuencia. El payload hace referencia a los datos reales que se transfieren entre el cliente y el servidor. En las solicitudes de API, el payload se refleja en el cuerpo de la solicitud. Contiene la información que los sistemas o las aplicaciones necesitan para comunicarse correctamente. El payload contiene datos en formato XML o JSON.
¿Cómo funciona el payload?
Un payload de datos se transfiere a través de la API cuando el cliente envía solicitudes o el servidor genera respuestas. La transmisión de datos mediante el payload se realiza de forma segura a través de las redes. Como se ha mencionado antes, el payload se formatea mediante una estructuración de datos adecuada. Esto, en última instancia, ayuda a mantener la integridad de los datos.
Conviene señalar que los distintos payloads tienen tamaños diferentes. Todo depende de los tipos de datos que se transfieran. Además, algunos payloads de mayor tamaño transportan información más sensible. Cada payload se prepara bien antes de transmitirlo a través de la API para que la entrega sea fluida. Algunos payloads también incluyen tokens de verificación.
Payload frente a cabecera: ¿cuál es la diferencia?
El payload y la cabecera son dos partes distintas del mismo mensaje. La cabecera transporta información de control como el origen, el destino, el tipo y la longitud. El payload transporta el contenido real que el usuario o la aplicación quiere entregar.
Una forma sencilla de verlo: la cabecera es el sobre y el payload es la carta que va dentro. Si quita la cabecera, la red no sabe adónde enviar los datos. Si quita el payload, no queda nada útil que entregar.
Tipos de payload
El término payload se usa en varios contextos. Cada tipo funciona de forma parecida, pero los datos que contiene son diferentes.
- Payload de API. El cuerpo de una solicitud o respuesta de API, normalmente en formato JSON o XML. Transporta los datos que se envían entre el cliente y el servidor.
- Payload de paquete de red. Los datos que van dentro de un paquete TCP o UDP, después de las cabeceras del protocolo. Es el contenido real que circula por la red.
- Payload JSON. Un payload con formato JSON. Es habitual en las API REST y en las aplicaciones web modernas.
- Payload de solicitud y de respuesta. El payload de solicitud son los datos que envía el cliente. El payload de respuesta son los datos que devuelve el servidor.
- Payload de malware. La parte dañina del código malicioso que se ejecuta en el sistema objetivo tras la entrega. Es independiente del método utilizado para entregarlo.
Ventajas y desventajas
Ventajas:
- El payload resulta útil para enviar información personalizada con facilidad.
- Es compatible con muchos motores de API y plataformas.
- El payload envía varios tipos de datos estructurados.
Desventajas:
- Los payloads maliciosos pueden dañar los sistemas.
- Los payloads de mayor tamaño suelen ralentizar las transmisiones.
Ejemplos
- Un payload de dos aplicaciones para comunicarse durante el desarrollo.
- La aplicación de GPS de Google usa un payload de datos para localizar una ubicación concreta.
- El tweet que publica en Twitter es un payload.
- Un payload de solicitud entrega los datos de un formulario al servidor.
Ejemplo de un payload de API en JSON
Este es un ejemplo sencillo de un payload JSON enviado en una solicitud de API:
{ "user_id": 482, "action": "login", "timestamp": "2025-09-18T10:24:00Z" }
Todo lo que está dentro de las llaves es el payload. Las cabeceras HTTP que lo rodean (como Content-Type o Authorization) no forman parte del payload.
Por lo tanto, el término payload desempeña un papel importante en la comunicación digital actual. Transfiere la información correcta del servidor al cliente y envía una respuesta precisa del servidor al cliente. Sin embargo, es necesario protegerse de las acciones maliciosas realizadas a través de él.
¿Qué es un payload malicioso?
Un payload malicioso es la parte del malware que realmente causa el daño. El método de entrega, como un correo de phishing o un archivo infectado, es independiente del propio payload. De este modo, los atacantes pueden reutilizar el mismo código dañino a través de distintos canales de ataque.
Un payload malicioso puede instalar ransomware, robar credenciales, abrir una puerta trasera o ejecutar otras acciones no deseadas. Suele ser de tamaño reducido para evitar que lo detecten los antivirus y los escáneres de red. Los profesionales de las pruebas de penetración suelen utilizar herramientas como el framework de código abierto Metasploit para estudiar cómo funcionan los payloads maliciosos.
Preguntas frecuentes
¿Qué significa payload en términos sencillos?
En términos sencillos, un payload es la parte de un mensaje que transporta la información real. Todo lo demás que lo rodea, como las cabeceras o los datos de enrutamiento, solo sirve para entregarlo.
¿Qué es un payload en programación?
En programación, un payload son los datos que se pasan a una función, una API o un mensaje. Es la entrada que el código utiliza para hacer su trabajo.
¿Qué es un payload en las pruebas de API?
En las pruebas de API, el payload es el cuerpo de datos que se envía en una solicitud. Quienes realizan las pruebas cambian el payload para comprobar cómo responde la API ante distintas entradas y casos límite.
¿Es lo mismo un payload que el cuerpo de una solicitud?
En la mayoría de las API REST, sí. El payload y el cuerpo de la solicitud se refieren a lo mismo: los datos que se envían en el cuerpo de una solicitud HTTP.
¿Puede estar vacío un payload?
Sí. Algunas solicitudes, como una solicitud GET básica, no necesitan payload. Las cabeceras llevan información suficiente para que el servidor responda.
¿Cuál es el tamaño máximo de un payload?
Depende del protocolo. Por ejemplo, un único paquete IPv4 tiene un tamaño máximo de payload de unos 65,535 bytes. Las API y los servidores suelen establecer sus propios límites, a menudo de unos pocos megabytes por solicitud.