Seguridad en web apps: guía OWASP Top 10 para desarrolladores en 2026

OWASP Top 10 2026: visión general

Inyección SQL y NoSQL

• Vulnerable: construir queries concatenando strings con input del usuario.
• Seguro: usar siempre ORM (Prisma, Drizzle) o sentencias preparadas. El ORM parametriza automáticamente.
• En Next.js con Prisma: `prisma.user.findUnique({ where: { email: userInput } })` es seguro. Nunca uses `$queryRaw` con interpolación directa.
• Valida y sanea los inputs en el servidor con Zod antes de cualquier query.

XSS (Cross-Site Scripting)

• React escapa automáticamente el contenido JSX. El riesgo principal es `dangerouslySetInnerHTML`: solo úsalo con contenido sanitizado (usa la librería `dompurify`).
• Content Security Policy (CSP) headers como segunda línea de defensa. Configúralos en `next.config.ts`.
• Evita `eval()`, `innerHTML` directo y librerías de terceros que manipulen el DOM sin auditar.

Autenticación y gestión de sesiones

• Usa cookies HttpOnly y Secure para las sesiones. Nunca localStorage para tokens de sesión.
• Implementa rate limiting en endpoints de login y registro (middleware de Next.js + Redis).
• MFA (autenticación de dos factores) para acciones críticas (pagos, cambios de contraseña, eliminación de datos).
• Ver implementación completa en autenticación en web apps.

Exposición de datos sensibles

• Nunca incluyas secretos (API keys, tokens) en el código frontend ni en variables de entorno `NEXT_PUBLIC_` salvo que sean seguras de exponer.
• Cifra datos sensibles en reposo (columnas de PII en la base de datos) con extensiones como pgcrypto.
• HTTPS obligatorio. En Next.js en Vercel está activo por defecto.
• Logs sin datos personales: no registres contraseñas, tokens ni PII en logs de aplicación.

Auditamos la seguridad de tu web app — sin coste inicial