4v4t4r en La Organización DragonJAR ha publicado un articulo titulado Preguntas frecuentes sobre seguridad en aplicaciones web (OWASP FAQ).
Tabla de Contenido
Esta lista de preguntas frecuentes da respuesta a algunas de las cuestiones que los desarrolladores suelen realizarse acerca de la seguridad en aplicaciones Web. Esta lista no es especifica para una plataforma o lenguaje en particular, discute los problemas y soluciones que son aplicables a cualquier plataforma.
El contenido es muy amplio y enriquecedor pues como su nombre lo indica ofrece rápidas respuestas a preguntas frecuentes relacionadas con la seguridad de aplicativos Web, he aquí su contenido:
El hilo original del foro donde se publicó esa lista ya no existe: el dominio del foro hoy muestra otro sitio sin relación con la comunidad, así que sus enlaces se quitaron. En su lugar, aquí quedan las preguntas que todo desarrollador web se hace, con respuestas cortas y vigentes, y al final las dos referencias de OWASP que siguen siendo la base del tema.
Preguntas frecuentes sobre seguridad en aplicaciones web
¿Qué es la inyección SQL y cómo se evita?
Es insertar código SQL a través de un campo de entrada para que la base de datos lo ejecute. Se evita usando consultas parametrizadas en todas partes, sin concatenar nunca la entrada del usuario en la consulta, y con una cuenta de base de datos con los permisos mínimos.
¿Qué es XSS y en qué se diferencia del CSRF?
XSS (Cross-Site Scripting) es inyectar scripts en una página que otros usuarios ven, y se previene codificando la salida según el contexto y con una política de seguridad de contenido. CSRF (Cross-Site Request Forgery) es engañar al navegador de un usuario autenticado para que ejecute una acción en otro sitio, y se previene con tokens anti-CSRF ligados a la sesión y con cookies SameSite.
¿Basta con HTTPS para que mi aplicación sea segura?
No. HTTPS cifra el tráfico en tránsito, pero no corrige una inyección, una mala gestión de sesiones ni una autorización rota. Es necesario, pero es solo una capa.
¿Cómo deben guardarse las contraseñas?
Nunca en texto plano ni con un hash rápido como MD5 o SHA-1. Con un algoritmo diseñado para contraseñas (bcrypt, scrypt o Argon2), con sal única por usuario, y con un factor adicional de autenticación para las cuentas importantes.
¿Qué es una autorización rota y por qué es tan grave?
Es permitir que un usuario acceda a datos o funciones de otro simplemente cambiando un identificador en la URL o en la petición, sin verificar en el servidor que ese usuario tenga permiso. Se previene verificando la autorización en cada petición, en el servidor, no solo ocultando enlaces en la interfaz.
¿Cada cuánto hay que probar la seguridad de una aplicación?
En cada cambio relevante y, como mínimo, antes de cada despliegue importante: revisión de dependencias, pruebas automáticas en el pipeline y una prueba de penetración periódica sobre el entorno real, no solo sobre el código.
¿Por dónde empiezo si desarrollo y no sé de seguridad?
Por el owasp top 10, la lista de los diez riesgos más críticos en aplicaciones web, y por la OWASP Cheat Sheet Series, con recetas concretas por tema (autenticación, sesiones, inyección, XSS y demás). Ambas son gratuitas, se actualizan con la comunidad y son la referencia que usaba la lista original de preguntas frecuentes.
