Lección 6 de 7 · 12 min
Configuración y cadena de suministro
Al terminar sabrás
12 min- Revisar la configuración visible de un sitio desde el navegador
- Sumar una revisión de dependencias vulnerables al pipeline
- Explicar qué es un SBOM y para qué sirve
Construyes: Una lista de chequeo de configuración y un paso de revisión de dependencias en tu pipeline.
A02: lo que quedó mal configurado
A02:2025 Security Misconfiguration subió del quinto al segundo lugar. Los sistemas actuales tienen muchas piezas configurables (servicios en la nube, contenedores, bases de datos, frameworks), y cada una puede quedar con una opción insegura o con el valor por defecto.
QA puede revisar desde el navegador lo que se ve hacia afuera:
| Qué revisar | Dónde | Lo esperado |
|---|---|---|
| Cabeceras de seguridad | Pestaña Red, respuesta de la página | Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options |
| Cookies de sesión | Pestaña Aplicación | Con Secure y HttpOnly, y SameSite definido |
| Errores | Provocando un error | Mensaje genérico, sin detalles internos |
| Rutas de administración o depuración | Probando direcciones comunes en el ambiente de prueba | No accesibles sin permiso |
| Credenciales por defecto | Paneles de administración de herramientas | Cambiadas |
| Listado de carpetas | Una carpeta de archivos estáticos | No se lista su contenido |
No todo esto es responsabilidad de QA arreglarlo, pero sí verlo y reportarlo.
A03: la cadena con que se construye el software
A03:2025 Software Supply Chain Failures amplía lo que en 2021 era "componentes vulnerables y desactualizados". Un producto moderno usa cientos de dependencias, y cada una tiene las suyas. El riesgo ya no es solo una librería vieja: es toda la cadena con que se construye y publica el software.
Lo que QA puede sumar al pipeline:
1. Revisión de dependencias vulnerables. En un proyecto Node:
npm ci
npm audit --audit-level=high
npm ci instala exactamente lo que dice el lockfile, sin sorpresas. npm audit compara las dependencias con bases de datos de vulnerabilidades conocidas y, con ese parámetro, falla solo con severidad alta o crítica. Otros ecosistemas tienen equivalentes, y servicios como Dependabot proponen las actualizaciones automáticamente.
2. Versiones fijas en el pipeline. Las acciones y herramientas del pipeline se usan con versión fija, no "la última". Una herramienta comprometida que se actualiza sola entra directo al producto.
3. Un SBOM. El SBOM (Software Bill of Materials) es la lista de ingredientes: todos los componentes del producto con sus versiones. Cuando se publica una vulnerabilidad grave en una librería, permite responder en minutos "¿la usamos?". En npm se genera con:
npm sbom --sbom-format cyclonedx
Lo que no hace la herramienta
Igual que en accesibilidad: que npm audit no encuentre nada no significa que no haya problemas. Solo dice que no hay vulnerabilidades conocidas y registradas en las dependencias. La configuración, los permisos y la lógica siguen necesitando las pruebas de las lecciones anteriores.
Compruébalo
0/3Responde sin mirar atrás. Verás la explicación al instante.
1. ¿Por qué A02 Security Misconfiguration subió al segundo lugar en 2025?
2. ¿Qué cubre A03 Software Supply Chain Failures además de las librerías desactualizadas?
3. ¿Qué es un SBOM?
Reto: configuración y dependencias
Revisa la configuración visible de tu producto desde el navegador con la lista de esta lección.
Agrega a tu pipeline un paso que falle con dependencias de severidad alta o crítica.