Web Security for Developers

Guía concisa y eminentemente práctica sobre seguridad en aplicaciones web modernas, escrita por Malcolm McDonald, creador de la plataforma educativa Hacksplaining. El libro se enfoca en el ecosistema web contemporáneo (estándares HTTP/HTTPS, navegadores y servidores web) y está dirigido a desarrolladores de software, programadores frontend, backend y full-stack de nivel intermedio. Requiere conocimientos previos en la construcción de aplicaciones web, manejo básico de bases de datos relacionales con SQL y familiaridad con lenguajes habituales de la web como JavaScript, PHP o Python.

La obra desglosa las amenazas más críticas del desarrollo web y sus contramedidas a nivel de código y configuración de servidores. Enseña a mitigar ataques de inyección (SQL Injection mediante sentencias preparadas y consultas parametrizadas), vulnerabilidades del lado del cliente como Cross-Site Scripting (XSS reflejado y persistente, escapado de datos y Content Security Policy) y Cross-Site Request Forgery (CSRF mediante tokens y directivas SameSite). Asimismo, aborda la arquitectura de autenticación y control de acceso seguro, protección de sesiones contra secuestro (session hijacking, atributos HttpOnly y Secure en cookies), almacenamiento de contraseñas con algoritmos de hashing robustos (como bcrypt y Argon2), criptografía aplicada con TLS y certificados HTTPS, manejo de fugas de información, vulnerabilidades en código heredado y mitigación básica de ataques de denegación de servicio (DoS) y scripts maliciosos de terceros (malvertising).

En lugar de plantear ejercicios teóricos o proyectos monolíticos, el libro analiza escenarios reales y snippets de código representativos que muestran primero la implementación defectuosa y luego la refactorización segura recomendada. Aporta una comprensión intuitiva y pragmática de la mentalidad del atacante sin empantanar al lector en matemáticas complejas ni burocracia de cumplimiento normativo. Deja fuera aspectos avanzados como pruebas de penetración ofensivas, explotación de binarios o auditoría de contenedores e infraestructura en la nube. Conviene que el lector ya tenga experiencia escribiendo código que interactúa con bases de datos y maneja autenticación de usuarios.