Una revisión de seguridad gana profundidad cuando sigue cómo se mueven los datos, cómo se asignan los permisos y qué ocurre cuando una operación falla. Estos diez puntos ayudan a organizar esa conversación con el equipo.

1. Validación de entradas

Definí formatos, tipos y límites del lado del servidor. Los controles del navegador mejoran la experiencia, pero pueden omitirse.

2. Consultas a la base de datos

Usá consultas parametrizadas. Evitá construir instrucciones mediante la concatenación de datos recibidos del usuario.

3. Autorización por objeto

Comprobá que el usuario puede acceder al recurso solicitado en cada operación. Conocer un identificador no debe otorgar permiso para leer o modificar su contenido.

4. Sesiones

Revisá el inicio, la renovación y el cierre de sesión. Definí qué sucede cuando cambian los privilegios o se revoca el acceso de una cuenta.

5. Secretos

Mantené credenciales y claves fuera del código y de los registros. Limitá su acceso y establecé cómo revocarlas cuando sea necesario.

6. Salida de datos

Codificá los datos según el contexto en que se presentan. El contenido de un usuario no debe interpretarse como código.

7. Archivos

Limitá tipos y tamaños, generá nombres seguros y separá el almacenamiento de los archivos subidos de las rutas ejecutables.

8. Dependencias

Conocé qué componentes usa el producto y revisá sus avisos de seguridad. Una actualización necesita pruebas de compatibilidad y un plan de aplicación.

9. Errores y registros

Los mensajes públicos deben permitir continuar sin revelar secretos o detalles internos. Los registros operativos deben conservar información útil para investigar.

10. Flujos de negocio

Probá acciones repetidas, solicitudes simultáneas, operaciones interrumpidas y cambios de rol. Los controles deben sostenerse también cuando el recorrido difiere de la secuencia esperada.

Convertir la revisión en trabajo

Documentá cada observación con el activo, el escenario y la evidencia. Acordá responsables, prioridad y una forma de comprobar la corrección.

Referencia: OWASP Cheat Sheet Series.