Hablemos de
Seguridad Web
para Artesanos Web
Autor de ASAWL
¡Construyamos algo seguro con Laravel!
Análisis de Seguridad de Aplicaciones Web Laravel (ASAWL)
En el marco de análisis de seguridad para aplicaciones web, desarrollado en el contexto de este repositorio, ASAWL es una metodología diseñada para evaluar y mejorar la seguridad de aplicaciones web construidas con Laravel. Su enfoque principal radica en la identificación y mitigación de vulnerabilidades mediante la aplicación de las mejores prácticas de seguridad específicas para este entorno.
Laravel, con su potencia y popularidad, facilita el desarrollo ágil de aplicaciones web robustas mediante PHP. Sin embargo, como cualquier herramienta, su uso no garantiza automáticamente la seguridad. ASAWL surge de la necesidad de abordar esta realidad, proporcionando un marco estructurado y adaptado para evaluar su seguridad.
Blog de Ejemplo (Como Leer La Documentacion)
Todas las paginas de vulnerabilidades usan el mismo dominio de ejemplo: un blog simple con Post y Comment.
Reglas usadas en todos los ejemplos:
- Todos (incluyendo guests) pueden leer posts y comentarios.
- Cualquier usuario autenticado puede escribir un comentario en cualquier post.
- Solo usuarios autorizados pueden crear/editar posts (ejemplo:
is_author; opcionalis_admin).
Donde vive el codigo de ejemplo:
app/Example/**(Actions, Policies, Requests, Controllers)
Como se aplica en Documentacion / Vulnerabilidades:
- Cada pagina A01-A10 explica el riesgo y luego muestra la implementacion segura para las reglas del blog.
- Los snippets referencian archivos reales de este repositorio para poder rastrear el fix desde la documentacion al codigo.
- Cuando el fix es de configuracion (A02, A09, A10), el snippet apunta a
config/*obootstrap/app.php.
Vulnerabilidades
- A01: Control de Acceso Roto
- A02: Configuración de Seguridad Incorrecta
- A03: Fallas en la Cadena de Suministro de Software
- A04: Fallas Criptograficas
- A05: Inyeccion
- A06: Diseno Inseguro
- A07: Fallos de Autenticacion
- A08: Fallos de Integridad de Software o Datos
- A09: Fallos de Logging y Alertas de Seguridad
- A10: Mal Manejo de Condiciones Excepcionales