Comprendiendo la Seguridad en el Desarrollo Web

Visión general

La seguridad en el desarrollo web es un aspecto crítico que se ocupa de la protección de los datos de los usuarios, la integridad de las aplicaciones y los recursos sensibles contra accesos no autorizados y ataques. Comprender los conceptos básicos de seguridad es esencial para que los desarrolladores creen aplicaciones robustas y manejen preguntas relacionadas con la seguridad con confianza en entrevistas.

Cómo funciona

A continuación, se presentan conceptos clave de seguridad desglosados con explicaciones y fragmentos de código:

Roles de IAM

Los roles de IAM (Identidad y Gestión de Accesos) son cruciales para controlar el acceso a recursos en servicios en la nube. Permiten definir permisos y responsabilidades sin revelar las credenciales del usuario.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::example_bucket"
    }
  ]
}

Firma JWT

El JWT (JSON Web Token) es un medio compacto y seguro para representar reclamaciones que se transferirán entre dos partes. La firma JWT asegura que la carga útil no ha sido alterada y se verifica usando la clave de firma. Esto garantiza la integridad de los datos y la autenticación.

const jwt = require('jsonwebtoken');

const token = jwt.sign({ userId: 123 }, 'secret_key', { expiresIn: '1h' });
console.log(token);

Restricciones CORS

CORS (Intercambio de Recursos de Origen Cruzado) es una característica de seguridad que restringe las aplicaciones web de hacer solicitudes a dominios diferentes al que sirvió la página web. Los navegadores aplican CORS para prevenir ataques de falsificación de solicitudes entre sitios.

Códigos de Estado HTTP

Entender los códigos de estado HTTP es vital. Entre ellos:

• 401 No autorizado: La solicitud carece de credenciales de autenticación válidas para el recurso objetivo.
• 403 Prohibido: El servidor entendió la solicitud, pero se niega a autorizarla.

Errores Comunes

• Confundir 401 No autorizado con 403 Prohibido al discutir controles de acceso.
• Suponer que los roles de IAM no se benefician del principio de menor privilegio.
• Creer que los JWT no necesitan validación y se pueden confiar implícitamente.
• Malinterpretar CORS simplemente como una configuración que se puede ignorar al desarrollar localmente.

Preguntas Frecuentes

Q: ¿Para qué se utilizan los roles de IAM?
A: Los roles de IAM se utilizan para definir permisos para acceder a recursos en entornos en la nube sin compartir credenciales de usuario.

Q: ¿Qué garantiza principalmente una firma JWT?
A: Una firma JWT garantiza la integridad de la carga útil y confirma que fue emitida por una fuente confiable.

Q: ¿Cómo se aplica CORS en las aplicaciones web?
A: CORS se aplica en los navegadores, que bloquean solicitudes a orígenes no autorizados a menos que el servidor envíe los encabezados apropiados.

Q: ¿Cuál es la diferencia entre los códigos de estado HTTP 401 y 403?
A: HTTP 401 indica acceso no autorizado debido a credenciales faltantes, mientras que 403 significa que el acceso está prohibido incluso con credenciales válidas.

Referencias

• Documentación de IAM de AWS
• JWT.io
• MDN Web Docs - CORS
• MDN Web Docs - Códigos de Estado HTTP