Seguridad Web

La seguridad no es un "extra" que se agrega al final: es parte de hacer bien tu trabajo. Un solo formulario sin proteger puede filtrar la base de datos de clientes, permitir que alguien suplante a un administrador o convertir el sitio de tu cliente en una plataforma para distribuir malware. Y cuando eso pasa, quien responde eres tú.

En este curso aprenderás a pensar como atacante para defenderte como profesional. Verás los ataques más comunes de la web (los del OWASP Top 10), cómo se explotan con ejemplos reales y, sobre todo, cómo prevenirlos en PHP y en Node.js (Express). Cada lección compara código vulnerable con su versión corregida para que identifiques los errores en tu propio código y en el de otros.

La buena noticia: la gran mayoría de los ataques se evitan con un puñado de hábitos que puedes aplicar desde hoy. Consultas preparadas, escapar la salida, contraseñas con hash, cookies bien configuradas, HTTPS y secretos fuera del código resuelven más del 80 % de los problemas que verás en proyectos reales.

Qué vas a poder hacer al terminar

• Reconocer las vulnerabilidades del OWASP Top 10 en código PHP y JavaScript.
• Prevenir XSS, inyección SQL y CSRF en tus formularios y APIs.
• Guardar contraseñas correctamente con password_hash, bcrypt y Argon2.
• Configurar sesiones y cookies seguras (HttpOnly, Secure, SameSite).
• Activar HTTPS y cabeceras de seguridad como CSP y HSTS.
• Validar y sanitizar datos de entrada y subir archivos sin riesgos.
• Configurar CORS correctamente en una API.
• Manejar secretos con archivos .env sin filtrarlos a Git.
• Revisar un proyecto con una checklist profesional antes de entregarlo a un cliente.

Requisitos previos

• Saber lo básico de PHP (formularios, sesiones, PDO).
• Conocer JavaScript y, de preferencia, nociones de Node.js/Express.
• Entender qué es una petición HTTP (GET, POST, cabeceras, cookies).

Cómo estudiar este curso

Lee cada lección con tu editor abierto. Reproduce el ejemplo vulnerable en tu máquina local (nunca contra sitios ajenos), observa cómo funciona el ataque y luego aplica la corrección. Entender el ataque es lo que hace que la defensa se te quede grabada.

Ética y legalidad

Todo lo que aprendas aquí es para proteger tus proyectos. Probar ataques contra sistemas que no son tuyos o sin autorización por escrito es ilegal en casi todos los países.

Temario

1. Principios y OWASP Top 10 — Cómo piensa un atacante, defensa en profundidad y los 10 riesgos más críticos.
2. Cross-Site Scripting (XSS) — Inyección de JavaScript: reflejado, almacenado y basado en DOM; cómo escapar la salida.
3. Inyección SQL — Por qué concatenar SQL es peligroso y cómo usar consultas preparadas.
4. CSRF — Peticiones falsificadas, tokens anti-CSRF y cookies SameSite.
5. Contraseñas y autenticación — Hash con bcrypt/Argon2, límites de intentos, recuperación de cuenta y 2FA.
6. Sesiones seguras — Fijación y robo de sesión, regeneración de ID y configuración de cookies.
7. HTTPS y cabeceras — TLS, HSTS, CSP, X-Frame-Options y más, en PHP, Express, Apache y Nginx.
8. Validación y sanitización — Validar en el servidor, listas blancas y escapar según el contexto.
9. Subida de archivos segura — Tipos MIME reales, nombres aleatorios, límites y carpetas sin ejecución.
10. CORS — Qué es el mismo origen, preflight y cómo configurar CORS sin abrir la puerta a todos.
11. Secretos y .env — Variables de entorno, .gitignore, rotación de claves y qué hacer si filtraste una.
12. Checklist para el cliente — Revisión completa antes de entregar un proyecto a producción.