Seguridad de aplicaciones web: 10 buenas prácticas en 2024

La seguridad de las aplicaciones web se ha convertido en un asunto crítico para cualquier empresa con presencia online. Los ciberataques se multiplican y se sofistican, y ponen en peligro los datos sensibles y la reputación de las organizaciones. Este artículo repasa las mejores prácticas para proteger de verdad tus aplicaciones web frente a las amenazas actuales y futuras.

Entender las principales amenazas

Los ataques más habituales

Antes de entrar en las soluciones, conviene conocer los principales tipos de ataque que amenazan a las aplicaciones web:

1. Inyección SQL: consiste en insertar código malicioso en las consultas SQL para manipular la base de datos.
2. Cross-Site Scripting (XSS): el atacante inyecta scripts maliciosos en páginas web que consultan otros usuarios.
3. Ataques por fuerza bruta: se intenta adivinar las credenciales probando un gran número de combinaciones.

Cómo evolucionan las amenazas en 2024

Los ciberdelincuentes adaptan sus técnicas sin parar. En 2024 se observa un repunte de los ataques dirigidos y un uso creciente de la inteligencia artificial para automatizar y afinar los intentos de intrusión.

Los fundamentos para asegurar una aplicación web

Implementar una autenticación robusta

Una autenticación sólida es la primera línea de defensa frente a los accesos no autorizados.

• Hash seguro de las contraseñas: usa algoritmos de hash modernos como bcrypt o Argon2 para almacenar las contraseñas.

Ejemplo en PHP con password_hash() y password_verify():

// Hash de la contraseña al registrarse
$password = $_POST['password'];
$hashedPassword = password_hash($password, PASSWORD_ARGON2ID);

// Guarda $hashedPassword en la base de datos

// Verificación de la contraseña al iniciar sesión
$storedHash = // Recupera el hash almacenado en la base de datos
if (password_verify($_POST['password'], $storedHash)) {
    // Contraseña correcta
} else {
    // Contraseña incorrecta
}

• Autenticación multifactor (2FA/MFA): añade una capa de seguridad extra exigiendo varias formas de identificación.

Gestión segura de las sesiones

Pon en marcha mecanismos para proteger las sesiones de usuario:

• Genera identificadores de sesión aleatorios y complejos.
• Impón una caducidad de las sesiones tras un periodo de inactividad.
• Usa cookies seguras con los atributos HttpOnly y Secure

// Configura las opciones de sesión seguras
ini_set('session.cookie_httponly', 1);
ini_set('session.use_only_cookies', 1);
ini_set('session.cookie_secure', 1);

// Genera un nuevo ID de sesión en cada inicio de sesión
session_regenerate_id(true);

// Define un tiempo de vida para la sesión
ini_set('session.gc_maxlifetime', 3600); // 1 hora

• Autenticación multifactor (2FA/MFA): añade una capa de seguridad extra exigiendo varias formas de identificación.

Validar y sanear las entradas del usuario

Toda entrada de usuario debe considerarse potencialmente peligrosa:

• Valida con rigor todas las entradas en el lado del servidor.
• Usa listas blancas para filtrar los caracteres permitidos.
• Escapa correctamente los datos antes de insertarlos en las consultas SQL o en el código HTML.

// Ejemplo de validación y saneamiento de una dirección de email
$email = filter_input(INPUT_POST, 'email', FILTER_SANITIZE_EMAIL);
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
    // El email no es válido
}

// Ejemplo de protección contra la inyección SQL con consultas preparadas
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->execute(['username' => $username]);
$user = $stmt->fetch();

Protección de los datos sensibles

Cifrado de los datos en tránsito y en reposo

El cifrado es imprescindible para proteger la información sensible:

// Cifrado
$plaintext = "Données sensibles à chiffrer";
$cipher = "aes-256-cbc";
$key = openssl_random_pseudo_bytes(32);
$iv = openssl_random_pseudo_bytes(openssl_cipher_iv_length($cipher));

$encrypted = openssl_encrypt($plaintext, $cipher, $key, 0, $iv);

// Descifrado
$decrypted = openssl_decrypt($encrypted, $cipher, $key, 0, $iv);

Poner en marcha el protocolo HTTPS/SSL

HTTPS ya no es opcional, es una necesidad:

• Consigue un certificado SSL/TLS válido de una autoridad de certificación reconocida.
• Configura el servidor para redirigir automáticamente todo el tráfico HTTP hacia HTTPS.

# Rediriger HTTP vers HTTPS
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Gestión segura de las API

Las API son a menudo puntos de entrada críticos:

• Implementa una autenticación fuerte para el acceso a las API.
• Limita el número de peticiones para prevenir los abusos.
• Usa tokens JWT (JSON Web Tokens) para gestionar con seguridad las sesiones de la API.

• • Establece un proceso sistemático para aplicar los parches de seguridad.

• • Suscríbete a los boletines de seguridad de los editores de tu software.

Formación y concienciación en seguridad

• • Organiza sesiones de formación periódicas sobre las últimas técnicas de protección.

• • Enseña a los usuarios las buenas prácticas de seguridad (crear contraseñas fuertes, detectar el phishing, etc.).

Cumplimiento y normas de seguridad

• • Asegúrate de que tu aplicación web cumple la normativa vigente (RGPD, PCI DSS, etc.).

• • Usa el Top 10 de OWASP como referencia para identificar y corregir las vulnerabilidades más críticas.

Conclusión

Asegurar una aplicación web es un proceso continuo que exige vigilancia constante. Adoptando estas buenas prácticas reforzarás notablemente la protección de tus aplicaciones frente a las ciberamenazas de hoy y de mañana.

• • Realiza tests de intrusión al menos una vez al año o después de cada cambio importante.

• • Instala un firewall de aplicaciones web (WAF) para bloquear muchos de los ataques habituales.

• • Configura alertas para las actividades sospechosas.

• • Conserva los logs el tiempo suficiente para hacer análisis forense.

Gestión de vulnerabilidades y actualizaciones

• • Establece un proceso sistemático para aplicar los parches de seguridad.

• • Suscríbete a los boletines de seguridad de los editores de tu software.

Formación y concienciación en seguridad

• • Organiza sesiones de formación periódicas sobre las últimas técnicas de protección.

• • Enseña a los usuarios las buenas prácticas de seguridad (crear contraseñas fuertes, detectar el phishing, etc.).

Cumplimiento y normas de seguridad

• • Asegúrate de que tu aplicación web cumple la normativa vigente (RGPD, PCI DSS, etc.).

• • Usa el Top 10 de OWASP como referencia para identificar y corregir las vulnerabilidades más críticas.

Conclusión

Asegurar una aplicación web es un proceso continuo que exige vigilancia constante. Adoptando estas buenas prácticas reforzarás notablemente la protección de tus aplicaciones frente a las ciberamenazas de hoy y de mañana.

• • Forma a tus desarrolladores en técnicas de programación segura.

• • Usa frameworks y librerías con buena reputación en materia de seguridad.

• • Haz revisiones de código periódicas centradas en la seguridad.

• • Mantén un inventario al día de todas las dependencias.

• • Usa herramientas automatizadas para detectar vulnerabilidades en las librerías de terceros.

• • Aplica el principio de defensa en profundidad asegurando cada capa de la infraestructura.

Pruebas y vigilancia continua

• • Realiza tests de intrusión al menos una vez al año o después de cada cambio importante.

• • Instala un firewall de aplicaciones web (WAF) para bloquear muchos de los ataques habituales.

• • Configura alertas para las actividades sospechosas.

• • Conserva los logs el tiempo suficiente para hacer análisis forense.

Gestión de vulnerabilidades y actualizaciones

• • Establece un proceso sistemático para aplicar los parches de seguridad.

• • Suscríbete a los boletines de seguridad de los editores de tu software.

Formación y concienciación en seguridad

• • Organiza sesiones de formación periódicas sobre las últimas técnicas de protección.

• • Enseña a los usuarios las buenas prácticas de seguridad (crear contraseñas fuertes, detectar el phishing, etc.).

Cumplimiento y normas de seguridad

• • Asegúrate de que tu aplicación web cumple la normativa vigente (RGPD, PCI DSS, etc.).

• • Usa el Top 10 de OWASP como referencia para identificar y corregir las vulnerabilidades más críticas.

Conclusión

Asegurar una aplicación web es un proceso continuo que exige vigilancia constante. Adoptando estas buenas prácticas reforzarás notablemente la protección de tus aplicaciones frente a las ciberamenazas de hoy y de mañana.

function hasPermission($userId, $action) {
    $userRole = getUserRole($userId); // Función para obtener el rol del usuario
    $permissions = [
        'admin' => ['read', 'write', 'delete'],
        'editor' => ['read', 'write'],
        'viewer' => ['read']
    ];

return in_array($action, $permissions[$userRole] ?? []);
}

// Uso
if (hasPermission($userId, 'write')) {
    // Autoriza la acción de escritura
} else {
    // Deniega el acceso
}

Seguridad del código y de la infraestructura

• • Forma a tus desarrolladores en técnicas de programación segura.

• • Usa frameworks y librerías con buena reputación en materia de seguridad.

• • Haz revisiones de código periódicas centradas en la seguridad.

• • Mantén un inventario al día de todas las dependencias.

• • Usa herramientas automatizadas para detectar vulnerabilidades en las librerías de terceros.

• • Aplica el principio de defensa en profundidad asegurando cada capa de la infraestructura.

Pruebas y vigilancia continua

• • Realiza tests de intrusión al menos una vez al año o después de cada cambio importante.

• • Instala un firewall de aplicaciones web (WAF) para bloquear muchos de los ataques habituales.

• • Configura alertas para las actividades sospechosas.

• • Conserva los logs el tiempo suficiente para hacer análisis forense.

Gestión de vulnerabilidades y actualizaciones

• • Establece un proceso sistemático para aplicar los parches de seguridad.

• • Suscríbete a los boletines de seguridad de los editores de tu software.

Formación y concienciación en seguridad

• • Organiza sesiones de formación periódicas sobre las últimas técnicas de protección.

• • Enseña a los usuarios las buenas prácticas de seguridad (crear contraseñas fuertes, detectar el phishing, etc.).

Cumplimiento y normas de seguridad

• • Asegúrate de que tu aplicación web cumple la normativa vigente (RGPD, PCI DSS, etc.).

• • Usa el Top 10 de OWASP como referencia para identificar y corregir las vulnerabilidades más críticas.

Conclusión

Asegurar una aplicación web es un proceso continuo que exige vigilancia constante. Adoptando estas buenas prácticas reforzarás notablemente la protección de tus aplicaciones frente a las ciberamenazas de hoy y de mañana.

Control de acceso y autorizaciones

Principio de mínimo privilegio

Concede a cada usuario o proceso solo los permisos necesarios para realizar sus tareas concretas.

Definir una política de control de acceso eficaz

Ejemplo sencillo de control de acceso basado en roles:

function hasPermission($userId, $action) {
    $userRole = getUserRole($userId); // Función para obtener el rol del usuario
    $permissions = [
        'admin' => ['read', 'write', 'delete'],
        'editor' => ['read', 'write'],
        'viewer' => ['read']
    ];

return in_array($action, $permissions[$userRole] ?? []);
}

// Uso
if (hasPermission($userId, 'write')) {
    // Autoriza la acción de escritura
} else {
    // Deniega el acceso
}

Seguridad del código y de la infraestructura

• • Forma a tus desarrolladores en técnicas de programación segura.

• • Usa frameworks y librerías con buena reputación en materia de seguridad.

• • Haz revisiones de código periódicas centradas en la seguridad.

• • Mantén un inventario al día de todas las dependencias.

• • Usa herramientas automatizadas para detectar vulnerabilidades en las librerías de terceros.

• • Aplica el principio de defensa en profundidad asegurando cada capa de la infraestructura.

Pruebas y vigilancia continua

• • Realiza tests de intrusión al menos una vez al año o después de cada cambio importante.

• • Instala un firewall de aplicaciones web (WAF) para bloquear muchos de los ataques habituales.

• • Configura alertas para las actividades sospechosas.

• • Conserva los logs el tiempo suficiente para hacer análisis forense.

Gestión de vulnerabilidades y actualizaciones

• • Establece un proceso sistemático para aplicar los parches de seguridad.

• • Suscríbete a los boletines de seguridad de los editores de tu software.

Formación y concienciación en seguridad

• • Organiza sesiones de formación periódicas sobre las últimas técnicas de protección.

• • Enseña a los usuarios las buenas prácticas de seguridad (crear contraseñas fuertes, detectar el phishing, etc.).

Cumplimiento y normas de seguridad

• • Asegúrate de que tu aplicación web cumple la normativa vigente (RGPD, PCI DSS, etc.).

• • Usa el Top 10 de OWASP como referencia para identificar y corregir las vulnerabilidades más críticas.

Conclusión

Asegurar una aplicación web es un proceso continuo que exige vigilancia constante. Adoptando estas buenas prácticas reforzarás notablemente la protección de tus aplicaciones frente a las ciberamenazas de hoy y de mañana.

function generateToken($userId) {
    $payload = [
        'user_id' => $userId,
        'exp' => time() + 3600 // Caduca en 1 hora
    ];
    return jwt_encode($payload, 'votre_clé_secrète');
}

function verifyToken($token) {
    try {
        $payload = jwt_decode($token, 'votre_clé_secrète');
        if ($payload->exp < time()) {
            return false; // Token caducado
        }
        return $payload->user_id;
    } catch (Exception $e) {
        return false; // Token no válido
    }
}

// Uso en una ruta de la API
$token = getBearerToken(); // Función para extraer el token de la cabecera
$userId = verifyToken($token);
if ($userId === false) {
    http_response_code(401);
    echo json_encode(['error' => 'Unauthorized']);
    exit;
}
// Continúa con el tratamiento de la petición de la API

Control de acceso y autorizaciones

Principio de mínimo privilegio

Concede a cada usuario o proceso solo los permisos necesarios para realizar sus tareas concretas.

Definir una política de control de acceso eficaz

Ejemplo sencillo de control de acceso basado en roles:

function hasPermission($userId, $action) {
    $userRole = getUserRole($userId); // Función para obtener el rol del usuario
    $permissions = [
        'admin' => ['read', 'write', 'delete'],
        'editor' => ['read', 'write'],
        'viewer' => ['read']
    ];

return in_array($action, $permissions[$userRole] ?? []);
}

// Uso
if (hasPermission($userId, 'write')) {
    // Autoriza la acción de escritura
} else {
    // Deniega el acceso
}

Seguridad del código y de la infraestructura

• • Forma a tus desarrolladores en técnicas de programación segura.

• • Usa frameworks y librerías con buena reputación en materia de seguridad.

• • Haz revisiones de código periódicas centradas en la seguridad.

• • Mantén un inventario al día de todas las dependencias.

• • Usa herramientas automatizadas para detectar vulnerabilidades en las librerías de terceros.

• • Aplica el principio de defensa en profundidad asegurando cada capa de la infraestructura.

Pruebas y vigilancia continua

• • Realiza tests de intrusión al menos una vez al año o después de cada cambio importante.

• • Instala un firewall de aplicaciones web (WAF) para bloquear muchos de los ataques habituales.

• • Configura alertas para las actividades sospechosas.

• • Conserva los logs el tiempo suficiente para hacer análisis forense.

Gestión de vulnerabilidades y actualizaciones

• • Establece un proceso sistemático para aplicar los parches de seguridad.

• • Suscríbete a los boletines de seguridad de los editores de tu software.

Formación y concienciación en seguridad

• • Organiza sesiones de formación periódicas sobre las últimas técnicas de protección.

• • Enseña a los usuarios las buenas prácticas de seguridad (crear contraseñas fuertes, detectar el phishing, etc.).

Cumplimiento y normas de seguridad

• • Asegúrate de que tu aplicación web cumple la normativa vigente (RGPD, PCI DSS, etc.).

• • Usa el Top 10 de OWASP como referencia para identificar y corregir las vulnerabilidades más críticas.

Conclusión

Asegurar una aplicación web es un proceso continuo que exige vigilancia constante. Adoptando estas buenas prácticas reforzarás notablemente la protección de tus aplicaciones frente a las ciberamenazas de hoy y de mañana.