Seguridad web: qué revisar antes de publicar un portal corporativo

Una web corporativa necesita controles proporcionales a las funciones que ofrece. Un sitio informativo y un portal con cuentas de usuario tienen superficies de exposición diferentes. Conviene documentar las rutas, los datos recogidos y los proveedores antes de decidir qué probar.

Revisar cómo se muestra la información

Los valores que llegan a una página deben tratarse según su contexto: texto, atributos, enlaces o datos dentro de un script. Usar el escape del framework y evitar insertar HTML sin control reduce riesgos de inyección. Una política CSP aporta una capa adicional; no sustituye el tratamiento seguro de los datos.

Probar el formulario completo

Validar campos en el servidor, limitar tamaños y controlar errores evita depender únicamente del navegador. Si se usa Turnstile, el servidor debe verificar el token y comprobar los valores esperados de hostname y action. El control de bots debe acompañarse de límites de solicitudes. También hay que probar rechazos y fallos del proveedor de correo.

Mantener y verificar

Revisar las dependencias con npm audit ayuda a identificar avisos conocidos. Un resultado sin avisos no demuestra que una aplicación esté libre de fallos. Registrar la fecha y el alcance de las pruebas permite saber qué sigue pendiente.

Antes de publicar, comprobar HTTPS y los encabezados en el alojamiento real, asignar responsables de mantenimiento y ensayar la recuperación de una versión anterior. Esta lista orienta una revisión inicial; una evaluación completa depende del alcance del portal.

Fuentes

• OWASP: prevención de XSS.
• Cloudflare: validación de Turnstile en el servidor.
• npm: auditoría de dependencias.