La OWASP Cheat Sheet Series es una colección de guías breves, cada una centrada en un tema concreto de seguridad de aplicaciones: cómo guardar contraseñas, cómo gestionar sesiones, cómo evitar inyección SQL, cómo endurecer un contenedor Docker o un workflow de GitHub Actions. Son el punto intermedio entre un artículo divulgativo y un estándar formal: directas, con recomendaciones accionables y ejemplos de código.
OWASP (Open Worldwide Application Security Project) es una fundación sin ánimo de lucro que produce material abierto sobre seguridad de software. Sus proyectos más conocidos:
- OWASP Top 10: los diez riesgos más críticos de las aplicaciones web. Es un documento de concienciación, no una checklist.
- ASVS (Application Security Verification Standard): una lista de requisitos verificables, por niveles, para auditar o diseñar una aplicación.
- Proactive Controls: las técnicas que todo proyecto debería aplicar desde el diseño.
- Cheat Sheet Series: el «cómo se hace» de todo lo anterior.
Si el Top 10 dice qué suele salir mal y el ASVS dice qué verificar, las cheat sheets dicen cómo hacerlo bien.
El sitio ofrece varias entradas al mismo contenido, según lo que estés buscando:
| Índice | Para qué sirve |
|---|
| Índice alfabético | Todas las cheat sheets por nombre. El más rápido si sabes qué tema buscas. |
| Índice por ASVS | Cheat sheets agrupadas por capítulo del ASVS (codificación y saneamiento, autenticación, sesiones, autorización, tokens, OAuth/OIDC…). Útil al implementar requisitos de una auditoría. |
| Índice por Top 10 | Qué cheat sheets mitigan cada categoría del Top 10 (versión 2021 en el índice). |
| Índice por Proactive Controls | Por control proactivo (versión 2018 en el índice): requisitos, frameworks seguros, acceso a datos, codificación, validación… |
| Índice por MASVS | Para apps móviles, según el estándar MASVS 2.1.0. |
Cada cheat sheet sigue una estructura parecida: introducción y contexto, recomendaciones concretas, ejemplos de código buenos y malos, y referencias. El sitio se puede descargar completo para consulta sin conexión y tiene un feed ATOM con las actualizaciones.
La serie ha incorporado guías recientes para sistemas con LLM:
- Empieza por el modelo de amenazas. Identifica qué protege tu aplicación y por dónde la atacarían (ver Modelo de amenazas y la Threat Modeling Cheat Sheet). Eso te dice qué hojas leer primero.
- Lee la hoja antes de implementar, no después. Antes de escribir el login, lee Authentication y Password Storage; antes de aceptar archivos, File Upload.
- Enlázala en el código y en los PRs. Un comentario con el enlace a la sección concreta explica por qué una decisión de seguridad es así y evita que alguien la «simplifique».
- Úsala como checklist de revisión. Las recomendaciones se convierten bien en puntos de revisión de código o en criterios de aceptación.
- Dásela a tu agente de IA. Pasar la URL de la cheat sheet relevante como contexto produce código más seguro que pedir «hazlo seguro».
- Relee al actualizar dependencias o frameworks. Las hojas se revisan con la comunidad; consulta el historial del repositorio para ver qué cambió.
- No sustituye una auditoría ni el ASVS. Son guías, no requisitos verificables; para una verificación formal, el ASVS es el estándar.
- Calidad desigual. Las escriben voluntarios: las hojas clásicas (autenticación, XSS, SQLi) están muy pulidas; algunas nuevas o muy específicas son más delgadas.
- Los índices no siempre van al día. El de Top 10 sigue la edición 2021 y el de Proactive Controls la de 2018, aunque las cheat sheets se actualizan por separado.
- Solo en inglés.
