1. Balancear riesgo y usabilidad
1.1. Si bien la usabilidad y la seguridad en una aplicación web no son excluyentes una de la otra, alguna medida tomada para incrementar la seguridad con frecuencia afecta la usabilidad. Normalmente siempre se debe pensar en las maneras en que usuarios ilegítimos nos pueden atacar y la facilidad de uso para los usuarios legítimos.
1.2. Rastrear el paso de los datos
1.2.1. Es muy importante mantener conocimiento de los pasos que ha recorrido la información en todo momento. Conocer de dónde vienen los datos y hacia dónde van. En muchas ocasiones lograr esto puede ser complicado, especialmente sin un conocimiento profundo de cómo funcionan las aplicaciones web.
1.3. Filtrar entradas
1.3.1. El filtrado es una de las piedras angulares de la seguridad en aplicaciones web. Es el proceso por el cual se prueba la validez de los datos. Si nos aseguramos que los datos son filtrados apropiadamente al entrar, podemos eliminar el riesgo de que datos contaminados sean usados para provocar funcionamientos no deseados en la aplicación
1.4. Escapado de salidas
1.4.1. Otro punto importante de la seguridad es el proceso de escapado y su contraparte para codificar o decodificar caracteres especiales de tal forma que su significado original sea preservado. Si llegamos a utilizar una codificación en particular es necesario conocer los caracteres reservados los cuales serán necesarios escapar.
2. Páginas privadas y los sistemas de autenticación
2.1. Ataques de fuerza bruta
2.2. Ataques de fuerza bruta
2.3. Cookies o variables de sesión persistentes
3. QUE ES LA SEGURIDAD WEB?
3.1. El propóisto de la seguridad web es prevenir ataques de esta (o de cualquier otra) clase. Mas formalmente, la seguridad es la acción/práctica de proteger sitios web del acceso, uso, modificación, destrucción o interrupción, no autorizados.
4. Amenazas contra la seguridad de sitios web
4.1. Cross-Site Scripting (XSS)
4.1.1. XSS es un término que se usa para describir una clase de ataques que permiten al atacante inyectar scripts de lado cliente, a través del sitio web, hasta los exploradores de otros usuarios.
4.2. Inyección SQL
4.2.1. Las vulnerabilidades de Inyección SQL habilitan que usuarios maliciosos ejecuten código SQL arbitrario en una base de datos, permitiendo que se pueda acceder a los datos, se puedan modificar o borrar, independientemente de los permisos del usuario.
4.3. Cross Site Request Forgery (CSRF)
4.3.1. Los ataques de CSRF permiten que un usuario malicioso ejecute acciones usando las credenciales de otro usuario sin el conocimiento o consentimiento de éste.
4.4. Otras amenazas
4.4.1. Clickjacking
4.4.2. Denegación de Servicio, (Denial of Service, DoS)
4.4.3. Salto de Directorios/Revelación de Ficheros
4.4.4. Inclusión de Ficheros.
4.4.5. Inyección de Comandos.