Revisado por Iván Quintas, Editor de IA News
OWASP Cheat Sheet Series: 137 guías de seguridad, también para IA
La colección oficial de OWASP cubre autenticación, Docker, GraphQL o GitHub Actions, y ya incluye guías para agentes, MCP y RAG. Qué hay y cómo usarla.
“¡Si tienes un servidor propio, necesitas esta guía!”, recomendaba midudev en X. No es una novedad: la OWASP Cheat Sheet Series existe desde hace años y su repositorio está en GitHub desde 2018, con más de 33.000 estrellas. Lo que sí ha cambiado es el temario: entre las 137 guías que tiene hoy ya hay un bloque dedicado a la IA.
Qué es
Cada cheat sheet es una página corta sobre un tema concreto: qué hacer, qué evitar y por qué. Nada de teoría general. Las escriben y revisan profesionales de seguridad bajo el paraguas de OWASP, la misma organización del OWASP Top 10.
Se pueden recorrer de varias formas:
- Índice alfabético, para buscar un tema.
- Índice Top 10, que conecta cada riesgo del OWASP Top 10 con sus guías.
- Índices ASVS y MASVS, para quien audita contra esos estándares en web y móvil.
- Índice Proactive Controls, orientado a qué construir bien desde el principio.
Las que más vas a usar
| Tema | Cheat sheets |
|---|---|
| Identidad | Authentication, Session Management, Password Storage, Multifactor Authentication, Passkey Security, OAuth2, JSON Web Token |
| Inyección | SQL Injection Prevention, Cross Site Scripting Prevention, OS Command Injection Defense, Server Side Request Forgery Prevention |
| Infraestructura | Docker Security, Kubernetes Security, Infrastructure as Code Security, Secrets Management, Transport Layer Security |
| Pipeline | CI CD Security, GitHub Actions Security, NPM Security, Software Supply Chain Security |
| APIs | REST Security, GraphQL, gRPC Security, Webhook Security |
| Frameworks | Django, Laravel, Symfony, Ruby on Rails, Next.js, Node.js, .NET, Java |
El bloque de IA
Es lo que justifica volver a ella en 2026. Hay guías de AI Agent Security, MCP Security, LLM Prompt Injection Prevention, RAG Security, Secure Coding with AI y Secure AI Model Ops, además de otras más de nicho, como pagos hechos por agentes o la verificación de evidencias de ejecución de agentes de terceros.
Si conectas agentes a herramientas o MCP, la guía de MCP es lectura obligada: permisos mínimos, validación de lo que devuelve cada herramienta y desconfianza hacia el contenido que el modelo lee. Es justo el tipo de riesgo que vimos con el modelo que escapó de su sandbox.
Cómo sacarle partido
- Antes de construir, no después: abre la guía del tema (subida de ficheros, sesiones, webhooks) cuando diseñas la función.
- Dásela a tu agente. La licencia CC BY-SA 4.0 permite adaptarla. Pasar la cheat sheet relevante como contexto a tu agente de código es más fiable que esperar que “sepa” de seguridad.
- En las revisiones de código, como lista de comprobación de lo que el revisor debe buscar.
Los límites
- No es un manual de servidores. El tuit habla de “proteger tu máquina”, pero la colección está centrada en seguridad de aplicaciones. Para endurecer el sistema operativo, el SSH o el firewall, complétala con los benchmarks de CIS.
- Calidad desigual. Algunas guías se actualizan a menudo; otras son breves o antiguas. Comprueba la fecha del último cambio en el repo antes de tomarla como referencia.
- Resúmenes, no estándares. Para una auditoría formal, la referencia es ASVS o MASVS; las cheat sheets son el cómo, no el qué exigir.
¿Te ha servido? Márcanos como fuente preferida en Google y verás antes nuestros artículos en Noticias destacadas, AI Overviews y AI Mode.
📎 Fuente original: X / @midudev ↗