Guías sobre seguridad del código, revisión de código con IA y correcciones que resisten.
· 7 min de lectura
Cómo el IDOR y el control de acceso roto se cuelan en REST, GraphQL y los route handlers de Next.js, cómo detectarlos y las correcciones que resisten.
· 7 min de lectura
Los errores con JWT y sesiones que llevan al robo de cuentas: confusión de algoritmos, secretos débiles, claims sin validar, almacenamiento y logout real.
· 7 min de lectura
Borrar una clave de API commiteada no la borra del historial de Git. Cómo encontrar secretos filtrados, rotarlos primero y evitar la próxima fuga.
· 8 min de lectura
Checklist práctica para apps con App Router de Next.js: server actions, route handlers, middleware, variables de entorno, CSRF, cabeceras y caché.
· 8 min de lectura
Cómo la prompt injection, el abuso de herramientas y la exfiltración por enlaces afectan a las funciones LLM, y los controles que limitan el daño.
· 7 min de lectura
Cómo ocurren los dobles gastos, la reutilización de cupones y los saltos de límites, y cómo corregirlos con restricciones, updates atómicos y bloqueos.
· 7 min de lectura
Guía práctica de CSP con nonces y strict-dynamic, HSTS y preload, frame-ancestors, Referrer-Policy, Permissions-Policy y COOP, con una configuración de Next.js.
· 7 min de lectura
Fragmentos SQL vulnerables y corregidos para pg, Prisma, psycopg, SQLAlchemy y database/sql de Go, además de ORDER BY dinámico y listas IN seguras. CWE-89.
· 7 min de lectura
Cómo el SSRF convierte webhooks, vistas previas e importadores en una vía hacia los metadatos de la nube y los servicios internos, y las defensas que resisten.
· 9 min de lectura
Checklist práctica de las diez clases de vulnerabilidades a revisar en cada code review, mapeadas a OWASP Top 10 y CWE, con la corrección clave de cada una.
· 5 min de lectura
Los identificadores CWE convierten un hallazgo de seguridad vago en una clase de debilidad precisa y rastreable. Guía para leerlos y priorizar correcciones.