Top 10 de OWASP

El Top 10 de OWASP es una lista corta de las diez formas más habituales de entrar sin permiso en una web o en una aplicación web. La escribe un grupo de voluntarios de seguridad llamado OWASP y la renueva cada pocos años. Nadie la vende, así que cualquiera puede sentarse y leerla entera en una tarde.

La lista sirve porque los mismos fallos se repiten. Uno es una cuenta de empleado que abre la ficha de todos los clientes en lugar de la suya, y otro una página de acceso que deja probar mil contraseñas en un minuto. Peor todavía es un buscador que manda a la base de datos lo que escribes tal cual, porque así un visitante escribe una orden en vez de una palabra y lee la tabla entera. Luego vienen los corrientes, como una contraseña guardada en texto normal o un formulario de subida que acepta un programa disfrazado de foto. El último es un trozo de código prestado que nadie actualiza desde hace tres años, con un agujero que cualquiera encuentra en internet.

Fíjate en lo que tienen en común, porque ninguno es ingenioso. Son errores corrientes de gente cansada cerca de una entrega, y quien los encuentra son máquinas. Hay programas que recorren millones de direcciones al día buscando justo estos defectos, y esa es la parte honesta que las páginas de venta se saltan. La mayoría de las intrusiones no van dirigidas a ti, porque tu web estaba en una lista y ya está. Cuando Linkysoft recibe un sistema construido por otros, la primera pasada por esta lista casi siempre encuentra algo.

Esta es la mejor pregunta para un proveedor de software antes de firmar. Enséñame cómo pruebas el Top 10 de OWASP y enséñame el informe de la última vez que lo hiciste. Quien trabaja así contesta en un minuto y te manda un archivo, mientras que quien nunca lo ha hecho hablará de cortafuegos, de cifrado y de lo cuidadoso que es su equipo. Esa respuesta vaga es el aviso, así que pregúntalo en la primera reunión y no al terminar, porque cambiar un diseño después cuesta varias veces más.

Linkysoft hace esa comprobación antes de publicar una aplicación web y otra vez tras cada cambio grande, porque una función nueva puede reabrir un agujero viejo. Si tu sistema ya funciona y nadie lo ha probado nunca, una revisión de seguridad corta es el punto de partida más barato. Tres días de pruebas de verdad suelen decirle más a un dueño que un año de preocupación.