Lista de Verificación de Seguridad Web: Guía de Seguridad Integral

OWASP Top 10

1. Broken Access Control: Controles de autorización faltantes. Los usuarios pueden acceder a recursos para los que no están autorizados.

2. Cryptographic Failures: Datos sensibles no cifrados o cifrado débil utilizado.

3. Injection: Inyección SQL, NoSQL, OS, LDAP. Cuando la entrada del usuario se agrega directamente a la consulta.

4. Insecure Design: Diseño con vulnerabilidades de seguridad. No se realizó threat modeling.

5. Security Misconfiguration: Configuración por defecto, modo debug abierto, headers de seguridad faltantes.

6. Vulnerable Components: Bibliotecas de terceros con vulnerabilidades de seguridad. Dependencias desactualizadas.

7. Authentication Failures: Política de contraseña débil, errores de gestión de sesión, sin protección contra brute force.

8. Software and Data Integrity Failures: Seguridad del pipeline CI/CD, integridad de dependencias, deserialización insegura.

9. Security Logging Failures: Logging insuficiente, sin monitoreo, sin plan de respuesta a incidentes.

10. SSRF (Server-Side Request Forgery): El servidor hace una solicitud a una URL controlada por el atacante.

Headers de Seguridad

CSP añade protección; unsafe-inline puede debilitarla. Use nonces o hashes para los scripts necesarios.

Strict-Transport-Security (HSTS): Dice al navegador que solo se conecte vía HTTPS. max-age=31536000; includeSubDomains; preload.

X-Content-Type-Options: El valor nosniff deshabilita el MIME type sniffing.

X-Frame-Options: DENY o SAMEORIGIN. Previene que la página se muestre en iframe (clickjacking).

Referrer-Policy: strict-origin-when-cross-origin. Controla la información del referrer.

Permissions-Policy: Controla las características del navegador como cámara, micrófono, geolocalización.

Autenticación y Autorización

Política de contraseña: Mínimo 8 caracteres, mayúsculas/minúsculas, número, carácter especial. Hash de contraseña (bcrypt, Argon2).

Autenticación multifactor (MFA): 2FA o MFA obligatorio. TOTP (Google Authenticator), SMS, hardware key (YubiKey).

Gestión de sesión: Cookies Secure, HttpOnly, SameSite. Timeout de sesión, límite de sesiones concurrentes.

JWT: Token de acceso de corta duración (15 min) + token de refresh de larga duración (7 días). Rotación de token.

OAuth 2.0 / OpenID Connect: Autenticación de terceros. Login con Google, GitHub, Apple.

RBAC: Role-Based Access Control. Roles de usuario y permisos. Principio de mínimo privilegio.

Validación y Sanitización de Entrada

Validación del lado del servidor: Valide todas las entradas en el servidor. La validación del lado del cliente no es suficiente.

Prevención de SQL injection: Use consultas parametrizadas / prepared statements. Los ORMs (Prisma, SQLAlchemy) proporcionan protección automática.

Prevención de XSS: Codificación de salida. Escapado automático de React/Vue. textContent en lugar de innerHTML.

Prevención de CSRF: Tokens CSRF. Atributo de cookie SameSite. Patrón de cookie de doble envío.

Seguridad de carga de archivos: Control de tipo y tamaño de archivo. No dé permiso de ejecución en el directorio de carga. Escaneo de virus.

Monitoreo y Respuesta de Seguridad

Logging: Registre todos los eventos de autenticación, autorización y error. Logging centralizado (ELK, Loki).

Monitoreo: Detección de anomalías. Intentos de login fallidos, patrones de tráfico inusuales, picos de tasa de error.

Plan de respuesta a incidentes: Planifique cómo responder a incidentes de seguridad. Runbooks, rutas de escalación.

Escaneo de vulnerabilidades: Escaneo de seguridad regular. OWASP ZAP, Burp Suite, Snyk.

Pruebas de penetración: Prueba de penetración profesional al menos una vez al año. Informe de hallazgos y plan de corrección.

Lista de Verificación de Seguridad

✓ HTTPS activo en todas las páginas

✓ Headers de seguridad (CSP, HSTS, X-Content-Type-Options, X-Frame-Options) configurados

✓ Validación de entrada aplicada en todos los endpoints

✓ Protección contra SQL injection (consultas parametrizadas)

✓ Protección contra XSS (codificación de salida, CSP)

✓ Protección contra CSRF (tokens, cookies SameSite)

✓ Autenticación (MFA, política de contraseña fuerte)

✓ Autorización (RBAC, mínimo privilegio)

✓ Seguridad de dependencias (npm audit, Snyk)

✓ Logging y monitoreo activos

✓ Plan de backup y recuperación ante desastres

✓ Plan de respuesta a incidentes

• MDN: Content Security Policy