Security on Commentary of Takao

OWASP ZAP Avanzado 2026: Automatización y scripting

Tue, 09 Jun 2026 00:00:00 +0900

OWASP ZAP ofrece capacidades avanzadas de automatización y scripting para equipos de seguridad y desarrollo.

ZAP Automation Framework

YAML para definir pipelines de seguridad: spider, active scan, alert filtering, report generation. Reemplaza scripts ad-hoc.

Scripting con ZAP

JavaScript, Python, Groovy para hooks personalizados. Scripts passive/active/extender. Automatización de autenticación y sesiones.

API de ZAP

REST API completa. Integración con Postman, curl, cualquier lenguaje. Control total de escaneos, contextos y alerts.

Contextos y autenticación

Define contextos de aplicación (URLs, include/exclude). Autenticación basada en formularios, JSON API, OAuth. Manejo de sesiones.

Hugo 2026: Mejores prácticas con CSP

Fri, 05 Jun 2026 00:00:00 +0900

Content Security Policy (CSP) es esencial para la seguridad. Hugo 2026 ofrece nuevas capacidades para integrar CSP sin sacrificar funcionalidad.

CSP en sitios estáticos

Los sitios estáticos tienen menos vectores de ataque pero aún necesitan CSP para scripts de terceros, analytics y widgets embebidos.

Generación de nonces

Hugo puede generar nonces únicos por build para scripts inline. Configuración via template functions. Integración con partials.

Hash para scripts estáticos

Calcula hashes SHA de scripts embebidos. Incluye en la cabecera CSP. Hugo puede automatizar esto con pipe functions.

Firmado de commits con claves SSH

Mon, 25 May 2026 00:00:00 +0900

Git 2.34+ permite firmar commits con claves SSH además de GPG. SSH es más familiar para desarrolladores que ya usan claves SSH para autenticación.

Configuración

Usa tu clave SSH existente (~/.ssh/id_ed25519.pub). Configura git config --global gpg.format ssh y user.signingkey ~/.ssh/id_ed25519.pub.

Firma automática

git config --global commit.gpgsign true firma todos los commits. Git usa SSH agent para la frase de paso.

Registro en GitHub

Añade tu clave SSH pública en GitHub Settings con tipo “Signing Key” (no solo Authentication). Los commits firmados muestran “Verified”.

CSP Report-Only: Implementación segura de Content Security Policy

Fri, 15 May 2026 00:00:00 +0900

Content-Security-Policy-Report-Only permite probar políticas de seguridad sin bloquear recursos. Ideal para implementación gradual.

Diferencia con CSP

CSP normal bloquea violaciones. CSP-Report-Only solo reporta. Usa ambas en paralelo: una activa y otra para nuevas reglas.

Reportes

Content-Security-Policy-Report-Only: script-src 'self'; report-uri /csp-endpoint

Los reportes JSON contienen: document-uri, violated-directive, blocked-uri, source-file.

Endpoints de reporte

Servidor propio que captura POST. report-to (nuevo) en lugar de report-uri (obsoleto). Servicios como Report URI, Sentry.

Flujo de adopción

Report-Only vigilando. 2. Identificar violaciones legítimas. 3. Ajustar política. 4. Migrar a CSP real. 5. Repetir hasta sin reportes.

JWT vs Autenticación por sesión: Cuál elegir

Fri, 20 Mar 2026 00:00:00 +0900

JWT (JSON Web Tokens) y sesiones basadas en cookies son los dos enfoques principales de autenticación. Cada uno tiene ventajas según el contexto.

Autenticación por sesión

Token de sesión almacenado en el servidor (memoria, Redis, DB). Cookie con session ID. Fácil invalidar (eliminar sesión del servidor). Estado server-side.

JWT

Token autónomo firmado. Contiene claims (userId, rol, exp). Sin estado server-side. Válido hasta expirar. Difícil invalidar (revocación complicada).

Comparativa

Sesión: más fácil invalidar, seguro contra robos de token. JWT: escalable (sin almacenamiento), mejor para microservicios y APIs móviles.

Seguridad DNS: DNSSEC, SPF, DKIM y DMARC

Sun, 15 Feb 2026 00:00:00 +0900

La seguridad del correo electrónico y DNS se basa en cuatro tecnologías que previenen spoofing, phishing y suplantación de dominio.

DNSSEC

Firma digitalmente los registros DNS. Protege contra envenenamiento de caché DNS y ataques Man-in-the-Middle. El navegador verifica la firma.

SPF

Especifica qué servidores pueden enviar correo desde tu dominio. Registro TXT con IPs autorizadas. Previene falsificación de remitente.

DKIM

Firma digitalmente los correos salientes. El receptor verifica la firma contra un registro DNS. Asegura que el correo no fue alterado.

HTTP Strict Transport Security (HSTS): Forzar HTTPS

Fri, 16 Jan 2026 00:00:00 +0900

HSTS le indica al navegador que solo se conecte al sitio mediante HTTPS, incluso si el usuario escribe http:// o hace clic en un enlace HTTP.

Cabecera HSTS

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

max-age en segundos (1 año recomendado). includeSubDomains aplica a todos los subdominios.

HSTS Preload

Lista mantenida por Chrome (cargada en todos los navegadores). Los dominios en la lista tienen HSTS activo desde la primera visita, sin necesidad de cabecera.

HTTP Headers de seguridad y CORS

Mon, 15 Dec 2025 00:00:00 +0900

Las cabeceras HTTP de seguridad protegen contra ataques comunes. CORS controla qué dominios pueden acceder a tus recursos desde el navegador.

Cabeceras de seguridad esenciales

X-Content-Type-Options: nosniff, X-Frame-Options: DENY, X-XSS-Protection: 0 (obsoleto). Referrer-Policy, Permissions-Policy.

Controla qué orígenes pueden leer respuestas de tu API. Access-Control-Allow-Origin, -Methods, -Headers. Preflight con OPTIONS para solicitudes complejas.

CORS en APIs

Para APIs públicas: Access-Control-Allow-Origin: *. Para APIs privadas: lista blanca de orígenes. Credenciales requieren Allow-Credentials: true y origen específico.

Vulnerabilidades en dependencias con npm audit

Sat, 15 Nov 2025 00:00:00 +0900

npm audit escanea las dependencias del proyecto en busca de vulnerabilidades conocidas. Es la primera línea de defensa contra paquetes comprometidos.

Uso básico

npm audit lista vulnerabilidades por severidad (critical, high, moderate, low). Muestra ruta de dependencia, versión vulnerable y versión corregida.

npm audit fix

npm audit fix --force actualiza a la versión corregida. --force puede cambiar versiones major (puede romper cosas).

Alternativas

Snyk: escaneo continuo, PRs automáticos de fix. Dependabot: PRs automáticos en GitHub. socket.dev: análisis de comportamiento de paquetes.

Firmado de commits con GPG en Git

Thu, 25 Sep 2025 00:00:00 +0900

Firmar commits con GPG verifica la identidad del autor. GitHub/GitLab muestran una insignia “Verified” en los commits firmados.

Configuración

Genera una clave GPG: gpg --full-generate-key. Configura git config --global user.signingkey <KEY>. Firma commits con -S.

Firma automática

git config --global commit.gpgsign true firma todos los commits. git config --global tag.gpgsign true para etiquetas.

Registro en GitHub

Añade la clave GPG pública en GitHub Settings → SSH and GPG keys. Verifica que los commits muestren “Verified”.

Protección CSRF: Tokens y SameSite Cookies

Mon, 25 Aug 2025 00:00:00 +0900

Cross-Site Request Forgery (CSRF) engaña al navegador para ejecutar acciones no deseadas en un sitio donde el usuario está autenticado.

Cómo funciona CSRF

El atacante crea un formulario o enlace en su sitio que apunta a una acción en tu sitio (cambiar email, transferir dinero). Las cookies se envían automáticamente.

Tokens CSRF

Token único por sesión o formulario. Incluido como campo oculto en formularios o header en requests AJAX. El servidor valida el token en cada mutación.

CSP strict-dynamic: La mejor defensa contra XSS

Sun, 15 Jun 2025 00:00:00 +0900

La directiva strict-dynamic de CSP cambia la forma de aplicar políticas de seguridad. En lugar de listar dominios permitidos, confía en scripts que fueron cargados por scripts legítimos.

Problema con listas blancas

Las listas de URLs permitidas son difíciles de mantener y pueden incluir CDNs comprometidas o bibliotecas con vulnerabilidades.

Cómo funciona strict-dynamic

Si un script tiene un nonce o hash válido, puede cargar otros scripts del mismo origen. La confianza se propaga del script inicial a sus dependencias.

Seguridad web: Prevención de XSS

Tue, 25 Feb 2025 00:00:00 +0900

Cross-Site Scripting (XSS) es una vulnerabilidad donde un atacante inyecta scripts maliciosos en páginas web vistas por otros usuarios.

Tipos de XSS

Reflejado: el script viene en la URL o formulario. Almacenado: el script se guarda en la base de datos. DOM-based: el script se ejecuta mediante manipulación del DOM.

Prevención

Escapa toda salida de HTML (React lo hace por defecto con JSX). Usa Content-Security-Policy (CSP). Sanitiza entradas con DOMPurify. HttpOnly y Secure en cookies.

Subresource Integrity (SRI): Garantizando integridad de recursos

Fri, 20 Dec 2024 00:00:00 +0900

Subresource Integrity (SRI) permite verificar que un archivo cargado desde un CDN no ha sido manipulado, comparando su hash criptográfico.

Cómo funciona

El atributo integrity contiene un hash (SHA-256, SHA-384, SHA-512) del contenido esperado. El navegador calcula el hash y lo compara. Si no coincide, bloquea el recurso.

Ejemplo

<script src="https://cdn.example.com/lib.js"
 integrity="sha384-..."
 crossorigin="anonymous">

El crossorigin es obligatorio para recursos CORS.

Generación de hashes

openssl dgst -sha384 -binary archivo.js | openssl base64 -A. O usando herramientas online de SRI. Automatiza en el build process.

Cookies seguras: HttpOnly, Secure, SameSite

Mon, 09 Dec 2024 00:00:00 +0900

Las cookies tienen atributos de seguridad que protegen contra XSS, CSRF y escuchas no autorizadas. Configurarlos correctamente es esencial.

HttpOnly

Previene el acceso a la cookie desde JavaScript (document.cookie). Bloquea robo de cookies via XSS. Esencial para cookies de sesión.

Secure

La cookie solo se envía en conexiones HTTPS. Nunca en HTTP. Protege contra ataques Man-in-the-Middle. Siempre activar.

SameSite

Strict: máxima protección CSRF. Lax: balance seguridad/usabilidad. None + Secure: cookies de terceros (menos seguro).

Prevención de SQL Injection

Tue, 01 Oct 2024 00:00:00 +0900

SQL Injection es una vulnerabilidad donde el atacante manipula consultas SQL insertando código malicioso en las entradas de usuario.

Cómo ocurre

Concatenar cadenas en SQL: SELECT * FROM users WHERE id = ' + id + ' permite al atacante inyectar ' OR '1'='1.

Prevención: Consultas parametrizadas

Usa placeholders: SELECT * FROM users WHERE id = ?. La base de datos escapa los valores automáticamente. Nunca concatenes entradas en SQL.

Seguridad en contenedores: Mejores prácticas

Tue, 16 Jul 2024 00:00:00 +0900

La seguridad en contenedores abarca desde la imagen base hasta la configuración de runtime. Un contenedor inseguro compromete todo el host.

Imágenes base

Usa imágenes oficiales y actualizadas. Prefiere -slim, -alpine o distroless. Escanea vulnerabilidades con docker scout o trivy.

Principio de mínimos privilegios

No ejecutes como root: USER nobody en Dockerfile. Capacidades de Linux mínimas: --cap-drop ALL --cap-add NEEDED. Modo de solo lectura: --read-only.

Secrets y variables

Nunca incluyas secretos en la imagen. Usa --secret de BuildKit para construir, y variables de entorno o montajes de secretos para ejecutar.

Vaultwarden y claves SSH

Thu, 20 Jun 2024 00:00:00 +0000

Vaultwarden puede almacenar claves SSH de forma segura. Con la extensión SSH Agent de Bitwarden, las claves se cargan bajo demanda.

Almacenamiento de claves

Las claves SSH se guardan como notas seguras en Vaultwarden. Cifradas con AES-256. Acceso protegido con Master Password y 2FA.

SSH Agent (browser extension)

La extensión Bitwarden ofrece SSH Agent. Carga claves privadas en el agente SSH del sistema. Las claves no se almacenan en disco.

Rate Limiting en APIs: Estrategias y mejores prácticas

Tue, 07 May 2024 00:00:00 +0900

Rate limiting protege las APIs contra abusos limitando el número de solicitudes en un período de tiempo. Esencial para seguridad y estabilidad.

Estrategias comunes

Fixed Window: cuenta en ventanas de tiempo fijas. Sliding Window: ventana deslizante más precisa. Token Bucket: tokens que se regeneran. Leaky Bucket: cola de velocidad fija.

Cabeceras de respuesta

X-RateLimit-Limit, X-RateLimit-Remaining, X-RateLimit-Reset. El cliente puede ajustar su comportamiento. HTTP 429 Too Many Requests con Retry-After.

Implementación

Redis para rate limiting distribuido. Almacenamiento en memoria para single-server. Middleware en Express, FastAPI, Cloudflare Workers.

WebAuthn y Passkeys: Autenticación sin contraseñas

Tue, 02 Apr 2024 00:00:00 +0900

WebAuthn es un estándar del W3C para autenticación sin contraseñas usando criptografía de clave pública. Passkeys son la implementación práctica.

Cómo funciona

El navegador genera un par de claves (pública/privada). La clave privada nunca sale del dispositivo. La autenticación usa desafíos firmados.

Passkeys

Sincronización entre dispositivos via iCloud Keychain, Google Password Manager, 1Password. Reemplazan contraseñas tradicionales. Soporte en iOS, Android, Windows, macOS.

Registro y autenticación

navigator.credentials.create() para registro. navigator.credentials.get() para autenticación. Biometría (TouchID, FaceID) o PIN como verificación local.

Instalación de Vaultwarden para gestión de contraseñas

Fri, 15 Mar 2024 00:00:00 +0000

Vaultwarden es una implementación ligera del servidor Bitwarden en Rust. Auto-hospeda tu gestor de contraseñas con mínimos recursos.

Instalación con Docker

docker run -d --name vaultwarden \
 -v /vw-data/:/data/ \
 -p 80:80 \
 vaultwarden/server:latest

Configuración

Variables: DOMAIN, SIGNUPS_ALLOWED, SMTP_*. Cifrado de base de datos con DATABASE_URL. Admin token para panel de administración.

Respaldo

Backup periódico del directorio /data/. Contiene la base de datos SQLite, archivos adjuntos y claves. Restauración simple reemplazando el directorio.

OAuth 2.0 y OpenID Connect: Autenticación y autorización modernas

Mon, 29 Jan 2024 00:00:00 +0900

OAuth 2.0 es un protocolo de autorización delegada. OpenID Connect (OIDC) añade una capa de autenticación sobre OAuth 2.0.

Roles en OAuth 2.0

Resource Owner (usuario), Client (app), Authorization Server (Auth0, Cognito), Resource Server (API). Flujo: consentimiento → token → acceso.

Grant Types

Authorization Code: el más seguro, con PKCE. Client Credentials: servidor a servidor. Implicit: obsoleto. Device Code: dispositivos sin navegador.

OpenID Connect

Añade id_token (JWT) con información del usuario. /userinfo endpoint. Scope openid. Claims: sub, name, email, picture.

Security on Commentary of Takao

OWASP ZAP Avanzado 2026: Automatización y scripting

ZAP Automation Framework

Scripting con ZAP

API de ZAP

Contextos y autenticación

Hugo 2026: Mejores prácticas con CSP

CSP en sitios estáticos

Generación de nonces

Hash para scripts estáticos

Firmado de commits con claves SSH

Configuración

Firma automática

Registro en GitHub

CSP Report-Only: Implementación segura de Content Security Policy

Diferencia con CSP

Reportes

Endpoints de reporte

Flujo de adopción

JWT vs Autenticación por sesión: Cuál elegir

Autenticación por sesión

JWT

Comparativa

Seguridad DNS: DNSSEC, SPF, DKIM y DMARC

DNSSEC

SPF

DKIM

HTTP Strict Transport Security (HSTS): Forzar HTTPS

Cabecera HSTS

HSTS Preload

HTTP Headers de seguridad y CORS

Cabeceras de seguridad esenciales

CORS (Cross-Origin Resource Sharing)

CORS en APIs

Vulnerabilidades en dependencias con npm audit

Uso básico

npm audit fix

Alternativas

Firmado de commits con GPG en Git

Configuración

Firma automática

Registro en GitHub

Protección CSRF: Tokens y SameSite Cookies

Cómo funciona CSRF

Tokens CSRF

CSP strict-dynamic: La mejor defensa contra XSS

Problema con listas blancas

Cómo funciona strict-dynamic

Seguridad web: Prevención de XSS

Tipos de XSS

Prevención

Subresource Integrity (SRI): Garantizando integridad de recursos

Cómo funciona

Ejemplo

Generación de hashes

Cookies seguras: HttpOnly, Secure, SameSite

HttpOnly

Secure

SameSite

Prevención de SQL Injection

Cómo ocurre

Prevención: Consultas parametrizadas

Seguridad en contenedores: Mejores prácticas

Imágenes base

Principio de mínimos privilegios

Secrets y variables

Vaultwarden y claves SSH

Almacenamiento de claves

SSH Agent (browser extension)

Rate Limiting en APIs: Estrategias y mejores prácticas

Estrategias comunes

Cabeceras de respuesta

Implementación

WebAuthn y Passkeys: Autenticación sin contraseñas

Cómo funciona

Passkeys

Registro y autenticación

Instalación de Vaultwarden para gestión de contraseñas

Instalación con Docker

Configuración