Guía de Seguridad Web

OWASP Top 10 mapeado a políticas

Mapea cada elemento del Top 10 a una política concreta y controles medibles (SLA para remediación, pipelines CI, escáneres).

Diseño & controles

• Usa hashing fuerte para contraseñas (Argon2id preferido; bcrypt o scrypt aceptables). Usa sal por usuario y parámetros memory-hard ajustados a latencia y coste.
• Prefiere tokens de acceso de corta duración + refresh con rotación. Usa el patrón de rotación de refresh tokens para detectar robos.
• Implementa MFA (TOTP + push + FIDO2) para todas las operaciones privilegiadas y administradores.
• Aplica bloqueo/backoff de cuentas y notifica sobre restablecimientos sospechosos.

Código & configuración

// Principio: comprobar privilegios en cada punto de entrada
async function authorize(user, resource, action){
  // ejemplo mínimo: ABAC + denegación explícita
  if(!user || user.disabled) throw new Error('unauthenticated');
  const policy = await getPolicyFor(resource);
  if(policy.deny.includes(user.role)) throw new Error('forbidden');
  if(!policy.allowedActions.includes(action)) throw new Error('forbidden');
  // registrar decisión para auditoría
  audit('authz', {user:user.id, resource, action});
  return true;
}

Checklist

Validación de Entradas & XSS

Prevención de XSS

1. Usa codificación de salida del servidor para contextos HTML, JS, URL, CSS. Usa frameworks de plantillas con codificación automática.
2. Implementa CSP con directivas estrictas y nonces cuando sea posible. Evita scripts/estilos inline.
3. Sanitiza HTML no confiable solo con una librería segura y una lista permitida.

Ejemplo de cabecera CSP

Content-Security-Policy:
  default-src 'none';
  script-src 'self' 'nonce-';
  style-src 'self' 'nonce-';
  img-src 'self' data:;
  connect-src 'self' https://api.example.com;
  frame-ancestors 'none';
  base-uri 'self';
  block-all-mixed-content;

Checklist

Sesiones & Cookies

Atributos de cookies

Set-Cookie: session=eyJ...; HttpOnly; Secure; SameSite=Strict; Path=/; Max-Age=3600

HttpOnly evita acceso desde JS; Secure exige TLS; SameSite mitiga CSRF (Lax/Strict según UX).

Buenas prácticas de sesión

• TTL corto de sesión para aplicaciones sensibles. Usa refresh tokens para mejor UX con rotación de refresh.
• Almacena estado de sesión en servidor o usa tokens firmados/encriptados con audience y expiración.
• Invalidar sesiones al restablecer contraseña o cerrar sesión; proveer API de revocación de sesiones para administradores.

Checklist

Capa de Transporte & TLS

Esenciales de configuración TLS

• TLS 1.3 siempre que sea posible. Si soportas TLS 1.2, desactiva cifrados débiles; habilita ECDHE para secreto hacia adelante.
• Cabecera HSTS con max-age largo y preload cuando esté listo: Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
• OCSP stapling habilitado; monitoriza expiración de certificados y automatiza renovación (ACME).

Ejemplo de snippet para Nginx

# nginx TLS 1.3 strong config
ssl_protocols TLSv1.3 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_session_tickets off;
ssl_stapling on;
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Checklist

Cabeceras de Seguridad & CSP (profundo)

Cabeceras esenciales

Referrer-Policy: no-referrer-when-downgrade
Permissions-Policy: camera=(), microphone=(), geolocation=()
X-Frame-Options: DENY
X-Content-Type-Options: nosniff
Expect-CT: max-age=86400, enforce

Desplegando CSP gradualmente

Checklist

Almacenamiento & Protección de Datos

Gestión de claves

• Usa KMS gestionado con políticas IAM fuertes y principio de menor privilegio. Rota claves trimestralmente o según política.
• Nunca almacenes credenciales o secretos en código o texto plano. Usa gestores de secretos y credenciales efímeras (roles IAM).

Minimización de datos & retención

Checklist

Dependencias & Seguridad de la Cadena de Suministro

Pasos prácticos

• Generación automatizada de SBOM y escaneo de dependencias (Snyk, OSS Index, etc.). Bloquea vulnerabilidades críticas en puertas CI/CD.
• Fija dependencias y prefiere lockfiles. Configura alertas para problemas de dependencias transitivas.
• Firma artefactos (imágenes, paquetes) y verifica firmas en políticas de despliegue en producción.

Checklist

CI/CD & Pruebas

Controles de pipeline

• Fallar builds en hallazgos de severidad alta. Proveer PRs automáticos para remediaciones de severidad baja/mediana cuando sea seguro.
• Aislar entornos de build y rotar tokens de servicio entre etapas. Usar runners efímeros para reducir exposición.
• Automatizar escaneos de infraestructura (IaC) y aplicar imágenes base seguras.

Checklist

Registro, Monitorización & Respuesta a Incidentes

Esenciales de monitorización

• Registrar decisiones de autenticación, errores críticos y violaciones de políticas. La telemetría debe incluir request IDs y contexto de usuario para trazabilidad.
• Crear alertas sobre patrones anómalos (credential stuffing, tráfico súbito a endpoints admin, picos en 401/403).
• Realizar ejercicios de mesa y automatizar pasos de IR cuando sea posible: aislar contenedor, rotar claves, revocar sesiones.

Checklist

Checklist Maestro (Exportable)

Cuestionario Rápido — Pon a prueba lo básico

Selecciona la mejor respuesta y envía. Retroalimentación inmediata.