La seguridad web no depende de una sola opción. Se construye con varias capas que reducen riesgos distintos: transporte cifrado, políticas del navegador, integridad de recursos externos, autenticación y autorización.
GuíaBuenas prácticasPrincipiante
Seguridad web: comprender las protecciones esenciales de un sitio
Comprende las capas que protegen un sitio web: HTTPS, cabeceras HTTP, CSP, SRI, autenticación, contraseñas e integridad.
Mostrar el índice
Piensa en capas, no en una protección milagrosa
HTTPS protege los datos durante el transporte, pero no corrige XSS ni controles de acceso defectuosos. Una Content Security Policy puede limitar el impacto de determinadas inyecciones, pero no sustituye un renderizado seguro. Una contraseña robusta tampoco compensa una autorización mal implementada.
Una base coherente combina HTTPS, cabeceras de seguridad, CSP, SRI cuando tenga sentido y una arquitectura correcta de autenticación y sesiones.
Empieza por un modelo de amenazas sencillo
Identifica qué datos y acciones debes proteger, quién debería acceder a ellos y qué superficies están expuestas. Un sitio estático, una aplicación con cuentas y un panel de administración no comparten exactamente los mismos riesgos. Revisa especialmente acciones privilegiadas, scripts de terceros, páginas embebibles y APIs accesibles desde el navegador.
HTTPS es la base, no todo el edificio
TLS protege la conexión entre navegador y servidor. HSTS puede indicar después al navegador que siga usando HTTPS. La guía de cabeceras HTTP de seguridad explica HSTS y otras políticas del navegador.
Reduce la superficie de ataque
Elimina dependencias innecesarias, no publiques secretos en el código cliente y limita los recursos externos a lo imprescindible. Una Content Security Policy controla los orígenes permitidos; Subresource Integrity puede fijar los bytes esperados de determinados recursos estáticos.
Distingue autenticación, autorización y sesión
La autenticación responde quién es el usuario; la autorización decide qué puede hacer; la sesión mantiene esa identidad entre peticiones. JWT puede formar parte de este diseño, pero no sustituye los controles de autorización. Consulta la guía de JWT y la guía de contraseñas.
Para entender cómo encajan OAuth, PKCE y las claves públicas, continúa con OAuth 2.0, PKCE, JWT, JWK y JWKS. Para distinguir confidencialidad, integridad y autenticidad, consulta Cifrado, hashing y HMAC.
Comprueba el comportamiento real
Revisa las cabeceras que devuelve producción, las violaciones CSP, las cargas de terceros, las rutas sin autenticar y el comportamiento de las sesiones caducadas. Una protección escrita en un archivo de configuración no sirve si no llega a la respuesta HTTP final.