Seguridad e identidad
8 guías · unas 1 hora de lectura
Esta página se tradujo del inglés con ayuda de IA y se cotejó con el original. Leer la versión en inglés
La mayoría de las brechas aprovechan errores de aplicación corrientes e identidades mal configuradas, no criptografía exótica. Esta materia explica cómo pensar la seguridad en la arquitectura de una aplicación y después profundiza en los protocolos de identidad con los que se encuentra todo desarrollador —OAuth 2.0, OpenID Connect, SAML—, en cómo encaja la gestión de identidades y accesos en una organización, en cómo proteger correctamente API REST con tokens y en los riesgos del OWASP Top 10 con mitigaciones concretas.
A quién va dirigido
- Desarrolladores backend y de API
- Arquitectos que diseñan la autenticación
- Desarrolladores que integran proveedores de identidad
Ruta de aprendizaje
Léelas en orden para seguir un curso completo o elige el tema que necesites.
- 1Arquitectura de seguridad de aplicaciones: threat modeling y principios de diseñoSeguridad desde el diseño: threat modeling con STRIDE, fronteras de confianza, mínimo privilegio, defensa en profundidad, secretos y un pipeline seguro.Intermedio11 min de lectura
- 2OAuth 2.0 explicado: roles, grants, PKCE y buenas prácticas actualesCómo delega OAuth 2.0 la autorización: roles, authorization code flow con PKCE, client credentials, device flow, scopes y la RFC 9700.Intermedio8 min de lectura
- 3OpenID Connect: ID token, discovery, nonce y gestión de sesionesOpenID Connect añade identidad a OAuth 2.0: el ID token, discovery y JWKS, UserInfo, nonce frente a state, logout y validación correcta.Intermedio8 min de lectura
- 4SAML 2.0 y single sign-on: aserciones, bindings y federaciónCómo funciona el SSO con SAML: aserciones, flujos iniciados por el SP o el IdP, bindings HTTP, metadatos y certificados, firmas y single logout.Intermedio9 min de lectura
- 5Gestión de identidades y accesos: ciclo de vida, MFA y modelos de autorizaciónIAM para desarrolladores: altas, cambios y bajas, passkeys y MFA, almacenamiento de contraseñas, RBAC, ABAC o ReBAC, LDAP, SCIM y revisión de accesos.Intermedio10 min de lectura
- 6Proteger APIs REST con JWT: verificación, claims y revocaciónVerifica JWT con seguridad: estructura JWS, lista blanca de algoritmos, rotación JWKS, validación de claims, revocación, almacenamiento y defensas de la API.Avanzado9 min de lectura
- 7OWASP Top 10: las diez categorías de riesgo y cómo corregir cada unaCada categoría del OWASP Top 10 con un fallo realista y su corrección en un stack web Java, y cómo ASVS convierte la lista en requisitos.Intermedio10 min de lectura
- 8Fundamentos de seguridad de la información para desarrolladoresLa tríada CIA, el vocabulario del riesgo, primitivas criptográficas, TLS y PKI, normas de gobierno, respuesta a incidentes y protección de datos.Principiante11 min de lectura
Sigue con
Spring FrameworkInyección de dependencias, configuración de beans, AOP, acceso a datos, MVC, REST, seguridad y pruebas: Spring Framework explicado desde cero.10 guías →Arquitectura de softwareSistemas por capas, SOA, microservicios, DDD, REST y gestión de API, sistemas reactivos, rendimiento, TOGAF y consistencia distribuida.12 guías →Computación en la nubeFundamentos de la nube, servicios clave de AWS y Azure, diseño well-architected, migración, alta disponibilidad, apps cloud-native y control de costes.8 guías →