Securing Ajax Applications

Libro de Christopher Wells, consultor de seguridad con certificación CISSP y experiencia en los sectores sanitario, de telecomunicaciones y financiero, sobre cómo incorporar la seguridad a las aplicaciones Ajax desde el diseño. Su tesis es que la comunicación constante entre navegador y servidor, que hace a Ajax tan ágil, también da a los atacantes nuevas formas de recopilar datos, enviar peticiones inesperadas al servidor e interferir en el intercambio entre el sitio y sus usuarios. Está dirigido a desarrolladores web de nivel intermedio que ya conocen HTTP, JavaScript y algún lenguaje de servidor.

Comienza con la evolución de la plataforma web (API, feeds, servicios web y mensajería asíncrona) y los fundamentos de seguridad: vulnerabilidades comunes y sus soluciones, gestión del estado y de las sesiones. Después revisa la seguridad de las tecnologías de cliente (Ajax, JavaScript, applets de Java, ActiveX, plugins, Flash y Flex), la protección del servidor (primera línea de defensa, servidores de aplicaciones, PHP y lenguajes de script) y las debilidades de estándares como HTTP, XML, JSON, RSS, Atom y REST, incluidos los ataques de denegación de servicio con XML. Termina con la seguridad de los servicios web, el diseño de API seguras y los mashups abiertos.

Es un libro conceptual: explica amenazas y defensas con ejemplos, pero no tiene ejercicios guiados ni proyectos. Sus principios (validar en el servidor, desconfiar del cliente, gestionar bien las sesiones) siguen siendo válidos. Sin embargo, se escribió antes de que existieran CORS, Content Security Policy, SameSite en las cookies u OAuth 2.0, y dedica espacio a Flash, ActiveX y applets, que ya han desaparecido. Conviene completarlo con la guía OWASP Top 10 actual.