10 Hoyos de Seguridad que Tu Sitio Probablemente Tiene Ahora Mismo

La seguridad web no es opcional—es responsabilidad legal. Un breach puede costarte millones en multas y destruir la confianza de tus clientes. Aquí está el checklist que usamos en cada proyecto.

Los 10 Hoyos Más Comunes#

1. HTTPS No Configurado Correctamente#

No basta con tener certificado SSL. Necesitas configuración correcta de headers y redirecciones.

// next.config.js - Headers de seguridad
const securityHeaders = [
  { key: 'X-Content-Type-Options', value: 'nosniff' },
  { key: 'X-Frame-Options', value: 'DENY' },
  { key: 'X-XSS-Protection', value: '1; mode=block' },
  { key: 'Strict-Transport-Security', value: 'max-age=63072000' },
  { key: 'Referrer-Policy', value: 'origin-when-cross-origin' },
];

2. Inyección SQL#

Sigue siendo el ataque #1. Nunca concatenes input del usuario en queries.

// ❌ MALO - Vulnerable a SQL injection
const user = await db.query(`SELECT * FROM users WHERE id = ${userId}`);

// ✅ BUENO - Parametrizado
const user = await db.query('SELECT * FROM users WHERE id = $1', [userId]);

// ✅ MEJOR - Usa un ORM como Prisma
const user = await prisma.user.findUnique({ where: { id: userId } });

3. XSS (Cross-Site Scripting)#

Permite a atacantes inyectar JavaScript malicioso. React escapa por defecto, pero cuidado con dangerouslySetInnerHTML.

4. Autenticación Débil#

• Usa 2FA — Obligatorio para cuentas con acceso a datos sensibles
• Passwords hasheados — bcrypt o argon2, nunca MD5 o SHA1 solos
• Rate limiting — Máximo 5 intentos de login por minuto
• Sessions seguras — httpOnly, secure, SameSite cookies

5-10. Más Vulnerabilidades Críticas#

Herramientas de Auditoría#

• OWASP ZAP — Scanner gratuito de vulnerabilidades
• Snyk — Detecta vulnerabilidades en dependencias
• SecurityHeaders.com — Verifica headers HTTP
• SSL Labs — Analiza configuración HTTPS

La seguridad no es un producto, es un proceso. Audita regularmente, actualiza siempre, y asume que ya te hackearon.