OWASP Secure by Default

Tutorial completo basado en el capítulo Secure by Default del OWASP Developer Guide, que expande cada punto del checklist original con contexto, ejemplos de código y recomendaciones prácticas para aplicaciones y su infraestructura.

Secure by Default significa que un producto es resistente frente a las técnicas de explotación más comunes desde el primer momento, sin necesidad de que alguien lo configure manualmente para que sea seguro. El estado inicial de un sistema —tal como sale de fábrica, de un docker build o de un terraform apply— debe ser ya el estado más seguro posible.

flowchart TD
    A[Secure by Default] --> B[Configuración de sistema]
    A --> C[Gestión de archivos]
    A --> D[Seguridad en la nube]
    B --> B1[Mínimo privilegio]
    B --> B2[Superficie de ataque reducida]
    B --> B3[Headers y metadata]
    C --> C1[Sin listados de directorio]
    C --> C2[Sin ejecución en uploads]
    D --> D1[Acceso Just-In-Time]
    D --> D2[Infrastructure as Code]
    D --> D3[Policy as Code]

Contenido del tutorial

1. Introducción y contexto — qué es Secure by Default, su relación con Secure by Design y el Proactive Control C5 de OWASP
2. Configuración de sistema — mínimo privilegio, eliminación de funcionalidad innecesaria, control de cambios, headers HTTP, .git expuesto y gestión de secretos
3. Gestión de archivos — listados de directorio, aislamiento de uploads, permisos de ejecución y solo lectura
4. Seguridad en la nube — acceso Just-In-Time, imágenes de contenedor confiables, Infrastructure as Code y Policy as Code
5. Checklist consolidado y recursos — el checklist completo en formato accionable, cómo adaptarlo a un proyecto y referencias adicionales

Fuente original

• OWASP Developer Guide — Secure by Default
• OWASP Top 10 Proactive Controls — C5: Secure by Default Configurations
• OWASP Cheat Sheet Series — Infrastructure as Code Security

Licencia del contenido original: Creative Commons Attribution Share Alike 4.0 International.