Blog
Artículos prácticos de seguridad para quienes gestionan sistemas: qué corregir, en qué orden y por qué.
- Todos los temas
- WordPress
- Seguridad web
- Respuesta a incidentes
- Ransomware
- Desarrollo seguro
- Cumplimiento normativo
- Identidad y acceso
- Phishing
- Pruebas de penetración
- Seguridad del correo
- Vulnerabilidades
-
Lista práctica de comprobación de seguridad para WordPress
Doce pasos de bastionado de WordPress en un orden lógico: desde actualizaciones y plugins abandonados hasta 2FA, XML-RPC, copias, integridad y WAF.
-
Ejercicio de simulación de incidentes de dos horas esta semana
Organice un ejercicio de ransomware o de robo de cuenta de dos horas con un equipo reducido, registre las carencias y conviértalas en un runbook breve.
-
Las cabeceras de seguridad que importan y las que conviene retirar
Guía práctica de CSP con nonces, HSTS y preload, frame-ancestors, Referrer-Policy, Permissions-Policy y COOP, con ejemplos y qué cabeceras eliminar.
-
Antes de conectar datos corporativos a un asistente de IA
Lista de control para TI: clasificación de datos, entradas hostiles, accesos, registros, proveedor y responsable antes de conectar un LLM.
-
Cómo diseñar y probar cargas de archivos seguras
Lista de controles para funciones de carga de archivos, basada en la hoja de referencia de OWASP, con una tabla de pruebas para cada endpoint de carga.
-
Contraseñas y llaves de acceso: lo que recomienda NIST SP 800-63B-4
Las reglas actuales del NIST sobre contraseñas: mínimo de 15 caracteres, sin cambios forzosos, control de filtraciones, solidez de la MFA y passkeys.
-
El artículo 21 de NIS2 en la práctica para organizaciones medianas
Las diez medidas de gestión de riesgos del artículo 21 de NIS2 en la práctica y los plazos de notificación del artículo 23: 24 horas, 72 horas y un mes.
-
Errores de seguridad con JWT y cómo evitarlos
Errores habituales con JWT: alg none, confusión RS256/HS256, secretos HMAC débiles, claims sin validar, inyección en kid, revocación y almacenamiento.
-
Cómo detectar un enlace de phishing antes de hacer clic
Aprenda a leer una URL como la construye un atacante: dominio registrable, dominios parecidos y punycode, el truco de la @, redirecciones y acortadores.
-
Cómo leer el informe de una prueba de penetración
Qué contiene un buen informe de pentesting, cómo se valoran los hallazgos, qué corregir primero y cómo distinguir una prueba real de un escaneo maquillado.
-
Plan de hardening de GitHub Actions en una semana
Cinco tareas diarias para GitHub Actions: permisos del token, auditoría de actions, inyección de scripts, secretos y propiedad de workflows.
-
Las primeras 24 horas de un incidente de ransomware
El primer día de un ataque de ransomware: contener sin perder evidencias, cambiar credenciales, revisar copias, plazos del RGPD y NIS2, y si pagar.