Programemos Cosas

  ¿Las llamadas AJAX están en alcance de ciertos tipos de protección como por ejemplo contra CSRF? Sí, lo están. Las llamadas AJAX (tanto las "simples" con GET y POST como las "complejas" con PUT , DELETE , etc.) están completamente dentro del alcance de la protección contra CSRF (Cross-Site Request Forgery). De hecho, sin las protecciones adecuadas, las llamadas AJAX pueden ser un vector muy efectivo para ataques CSRF. ¿Por qué las llamadas AJAX son vulnerables a CSRF? El ataque CSRF se basa en la forma en que los navegadores web manejan las cookies: El navegador envía automáticamente las cookies: Cuando un usuario está logueado en un sitio ( banco.com ) y tiene una sesión activa (con cookies de sesión guardadas en su navegador), si ese mismo navegador hace una solicitud a banco.com (ya sea por una acción directa del usuario, un formulario HTML o una llamada AJAX), el navegador siempre enviará automáticamente las cookies de sesión válidas para banco.com junto...

¿En qué orden conviene empezar a aprender CORS, CSP, CSRF, XSS y SOP ? ¿Hay además otros conceptos relevantes relacionados? Estos conceptos son cruciales para construir aplicaciones robustas y seguras. No sólo te ayudarán a proteger tus proyectos, sino que también te darán una ventaja en el mundo del desarrollo web. Sí, hay un orden lógico para aprenderlos, ya que algunos conceptos se basan en otros o abordan problemas relacionados. Y sí, hay otros conceptos relevantes que complementan estos. Aquí te propongo un orden de aprendizaje y te introduzco algunos otros conceptos importantes: Orden de Aprendizaje Sugerido: Te recomiendo empezar con SOP, luego XSS y CSRF, y finalmente CORS y CSP, ya que estos últimos son mecanismos de defensa más específicos que a menudo se entienden mejor una vez que conoces los ataques que intentan mitigar. SOP (Same-Origin Policy - Política del Mismo Origen) XSS (Cross-Site Scripting - Secuencias de Comandos en Sitios Cruzados) CSRF (Cross-Site Request Forge...