Web Application Security, 2nd Edition

Segunda edición actualizada (publicada por O'Reilly en 2024) de la referencia técnica escrita por Andrew Hoffman, ingeniero principal de seguridad en Ripple y exmiembro del equipo de seguridad de Salesforce. La obra actualiza a fondo el panorama de la seguridad ofensiva y defensiva para alinearse con los estándares de la web actual: despliegues en la nube, arquitecturas orientadas a APIs, renderizado en servidor (SSR) y redes de distribución de contenido (CDN). Está diseñada para desarrolladores full-stack, ingenieros de seguridad y analistas de pruebas de penetración de nivel intermedio que conocen JavaScript y la arquitectura cliente-servidor y desean comprender tanto cómo explotar una debilidad como la manera rigurosa de mitigarla.

El libro articula su propuesta pedagógica en tres pilares: Reconocimiento (Recon), Ataque (Offense) y Defensa (Defense). Profundiza en el mapeo de superficies de ataque y descubrimiento de endpoints; la explotación y prevención de vectores modernos como prototype pollution en JavaScript, Server-Side Request Forgery (SSRF), abusos en esquemas GraphQL, vulnerabilidades en WebSockets, Cross-Site Scripting (XSS), inyecciones SQL y NoSQL, deserialización insegura y desconfiguraciones en CDNs; y la construcción de defensas en profundidad mediante Content Security Policy (CSP nivel 3), Cross-Origin Resource Sharing (CORS), HTTP Strict Transport Security (HSTS), modelado sistemático de amenazas e integración en el ciclo de vida de desarrollo seguro de software (SSDL/SDLC).

Mediante ejemplos de código reales, análisis de solicitudes HTTP y pruebas de concepto en escenarios de laboratorio, el lector practica tanto la perspectiva del atacante como la del desarrollador que parchea la vulnerabilidad en producción. Es uno de los textos más profundos y rigurosos del catálogo actual, sobresaliendo por abordar tecnologías modernas (GraphQL, SSR) que los libros clásicos no contemplan. Requiere familiaridad previa con el ecosistema web moderno y no se organiza en torno a un proyecto único, sino en talleres y análisis específicos de cada amenaza.