Lección 1 de 7 · 10 min
Qué le toca a QA en seguridad (y qué no)
Al terminar sabrás
10 min- Distinguir las pruebas de seguridad de QA de un pentest
- Aplicar la regla de la autorización antes de cualquier prueba
- Reconocer que muchos bugs de seguridad son bugs de lógica de negocio
Construyes: El alcance escrito de tus pruebas de seguridad: qué sistemas, qué ambientes y quién lo autorizó.
Seguridad no es solo para especialistas
Durante años, la seguridad fue "lo que hace el equipo de seguridad", una vez al año, con un pentest. El problema es que el software cambia todas las semanas: una evaluación anual llega tarde a casi todo.
Muchos de los bugs de seguridad más graves no son técnicamente sofisticados. Son bugs de lógica: un permiso que no se revisa, un mensaje que dice demasiado, un error que el sistema no maneja. Esos los encuentra QA, en cada historia, si sabe qué mirar.
QA y pentest: complementarios
| Pruebas de seguridad de QA | Pentest | |
|---|---|---|
| Cuándo | En cada historia, de forma continua | Puntual, antes de salidas importantes o una vez al año |
| Qué | Que permisos, sesiones, entradas y errores se comporten como dicen los requisitos | Encadenar vulnerabilidades como lo haría un atacante real |
| Quién | El equipo | Especialistas, internos o contratados |
| Profundidad | Amplia y constante | Profunda y acotada |
Un equipo que solo tiene pentest descubre los problemas tarde. Uno que solo tiene QA puede no ver ataques complejos. Lo sano es tener las dos cosas.
La regla de la autorización
Antes de cualquier prueba de seguridad, tres preguntas:
- ¿El sistema es nuestro o tenemos autorización escrita para probarlo?
- ¿Estamos en un ambiente de prueba, con datos de prueba?
- ¿Quién recibe los hallazgos graves, y cómo?
Si la respuesta a la primera es no, la prueba no se hace. Probar la seguridad de un sistema ajeno sin permiso no es QA: es un delito en Chile y en casi cualquier país. Para practicar están los laboratorios, como el de este sitio.
El mapa: OWASP Top 10:2025
El OWASP Top 10 es la lista de los riesgos de seguridad más importantes en aplicaciones web, publicada por la fundación OWASP con datos de miles de aplicaciones. La edición vigente es la 2025. Es el temario de este curso: en la próxima lección la recorremos completa, en simple, y desde la tercera probamos cada riesgo en el laboratorio.
Compruébalo
0/3Responde sin mirar atrás. Verás la explicación al instante.
1. Quieres probar si el sitio de una empresa que no es tu cliente deja ver pedidos ajenos. ¿Qué haces?
2. ¿Qué hace QA y no un pentest?
3. Un cliente puede ver el pedido de otro cambiando el número en la dirección. ¿Qué tipo de bug es?
Reto: tu alcance de seguridad
Escribe en cinco líneas el alcance de las pruebas de seguridad de tu equipo: qué sistemas, qué ambientes, qué queda fuera y quién lo autorizó.