Seguridad de apps web, explicada

Content-Security-Policy (CSP): qué es y cómo agregarla

El encabezado que impide que se ejecuten scripts inyectados.

HTTP Strict Transport Security (HSTS) explicado

Obliga a que cada conexión use HTTPS, incluso la primera.

Clickjacking y X-Frame-Options: mantén tus páginas fuera de iframes

Un encabezado impide que superpongan tu app dentro de un iframe.

MIME sniffing y X-Content-Type-Options: nosniff explicado

Un encabezado que impide que los navegadores adivinen tipos de contenido y ejecuten archivos subidos como scripts.

Errores de configuración

Archivos .env expuestos: cómo los atacantes encuentran tus secretos

Un solo .env accesible puede entregar todo tu stack.

CORS mal configurado: las trampas del comodín y del reflejo

Permite todos los orígenes y cualquier sitio podrá leer tu API.

Los source maps en producción filtran tu código fuente

Los .map publicados entregan tu código fuente original.

Directorio .git expuesto: la fuga de código fuente a la vista de todos

Un /.git accesible entrega todo tu código y el historial de commits.

Backups de base de datos expuestos: qué pasa cuando /backup.sql es accesible

Un volcado .sql accesible es la entrega completa de toda tu base de datos.

Secretos expuestos

API keys expuestas en el JavaScript del cliente

Todo lo que va en tu bundle es público. Trátalo como tal.

Seguridad de DNS y email

Subdomain takeover: cómo ocurre y cómo prevenirlo

Un CNAME colgante es una puerta abierta en tu dominio.

SPF y DMARC: detén la suplantación de email de tu dominio

Evita que los atacantes le escriban al mundo haciéndose pasar por ti.

Seguridad de cookies

Las marcas de cookies Secure, HttpOnly y SameSite

Tres marcas que evitan que te roben las cookies de sesión.

Cadena de redirecciones

Por qué tu sitio necesita una redirección de HTTP a HTTPS

No dejes abierta la puerta insegura.

Seguridad de bases de datos

Row Level Security (RLS) en Supabase: protege tus tablas

Tu anon key es pública. RLS es lo único que la separa de tus datos.

Firebase Security Rules: deja de dejar tu base de datos abierta

Tu config de Firebase es pública por diseño. Tus reglas deciden quién ve los datos.

Manejo de archivos, rutas y recursos

Índices de directorio abiertos: cuando tu servidor de archivos lo lista todo

Un servidor de archivos que lista su contenido regala a los atacantes un inventario.

Manejo de errores y resiliencia

Páginas de error detalladas y stack traces en producción

Un stack trace le dice al atacante exactamente dónde apuntar.

Seguridad de API

Introspección pública de GraphQL: por qué es un problema y cómo desactivarla

Una sola consulta devuelve todo tu esquema. Desactívala en producción.

Protocolo HTTP y peticiones al servidor