seguridad básica
19 artículos con esta etiqueta
Cómo borrar el historial de navegación, las cookies y las contraseñas guardadas (Chrome, Safari, Edge y Firefox en ordenador y móvil): qué eliminar tras una filtración y qué conservar antes
Una guía para eliminar el historial de navegación, las cookies (datos de sitios), la caché, las contraseñas guardadas y el autocompletado en Chrome (Windows, Mac, Android, iPhone), Safari (Mac, iPhone, iPad), Edge y Firefox, con los nombres que usa la ayuda oficial de cada fabricante. Borrar el historial de navegación no recupera nada de lo que ya se haya copiado y no sirve de defensa frente a una amenaza. Lo que reduce el daño futuro es ocuparse del estado de inicio de sesión (cookies) y de las contraseñas guardadas: cambia las contraseñas y cierra todas las sesiones desde un dispositivo seguro. Si vas a acudir a la policía, registra el correo de amenaza y las extensiones sospechosas antes de borrar. Si la sincronización está activada, el borrado también elimina los datos de tus otros dispositivos con la misma cuenta. En el caso de Onamae.com Desktop Cloud de octubre de 2026, el sexto aviso de GMO Internet pide a los clientes que no activen la sincronización del navegador hasta terminar la comprobación de sus dispositivos.
Qué es el RGPD (GDPR): las normas de protección de datos de la UE y el deber de notificar filtraciones
El GDPR (General Data Protection Regulation) es el marco integral de la UE para proteger los datos personales de las personas en la UE — y puede alcanzar a negocios fuera de la UE que dan servicio a usuarios de la UE. Exige una base legal (p. ej. consentimiento), un fin claro, minimización de datos, derechos del interesado (acceso/supresión) y notificación de filtraciones a la autoridad (por lo general en 72 horas), con multas cuantiosas por infracciones graves. La esencia técnica: recopilar y guardar solo los datos personales que necesitas, protegerlos y poder detectar y notificar una filtración con rapidez.
Qué es el OWASP Top 10: la lista estándar de los 10 mayores riesgos de las aplicaciones web
El OWASP Top 10 es una lista que la organización sin ánimo de lucro OWASP publica cada pocos años con los 'riesgos más críticos de las aplicaciones web'. Es un lenguaje común para desarrolladores y responsables de operación. La edición vigente de 2025 (anunciada en noviembre de 2025) la sigue encabezando el control de acceso roto; la configuración incorrecta de seguridad sube al segundo puesto y se añaden dos categorías nuevas: fallos en la cadena de suministro de software y gestión incorrecta de condiciones excepcionales. La SSRF se integró en el control de acceso roto. Son CATEGORÍAS de riesgo, no exploits individuales: úsalas como lente para auditar tu propia aplicación.
Qué es la criptografía de clave pública: cifrar y firmar con un par de claves
La criptografía de clave pública usa una 'clave pública' (segura de repartir) y una 'clave privada' (que solo posee el titular). Todo lo cifrado con la clave pública solo puede descifrarse con la clave privada correspondiente, y una firma hecha con la clave privada se verifica con la clave pública. Esa asimetría sustenta el intercambio de claves de TLS (HTTPS), las firmas digitales y las passkeys. Defensas: no inventes tu propia criptografía (usa protocolos estándar y bibliotecas probadas), protege la clave privada y ten la capacidad de revocarla, y mantén la longitud de clave y los algoritmos al día.
Autenticación frente a autorización: un inicio de sesión por sí solo no protege los datos de otros usuarios
Autenticación = verificar quién es alguien; autorización = decidir qué puede hacer. Son cosas distintas, y añadir un inicio de sesión no es autorización. Sin acotar los datos al propietario (user_id), 'con sesión iniciada = ve todos los datos' — el Broken Access Control número uno de OWASP. Añade encima un scaffold con el registro abierto y un desconocido puede darse de alta y entrar. Defensas: acota cada consulta al propietario, cierra el registro que no necesites, defensa en profundidad, registros de auditoría/acceso antes de un incidente, detecta nuevas altas.
¿Cómo guarda la gente sus contraseñas? Lo que dicen los datos — y la forma segura
Encuestas representativas muestran que ~54% confía en la memoria, ~33% escribe las contraseñas en papel y solo ~36% usa un gestor de contraseñas dedicado — con ~25% reutilizando contraseñas. Mientras tanto, el DBIR de Verizon halló que el compromiso de credenciales estuvo presente en ~38% de las brechas y que ~74% de las contraseñas en datos de brechas estaban reutilizadas. En resumen: los hábitos de almacenamiento más populares son los más fáciles de explotar para los atacantes. Lo básico y seguro es un gestor (una contraseña única por sitio) más passkeys/MFA en tus cuentas clave.
Seguridad para la era de la IA: los fundamentos que blindar ya (lista de prioridades)
La IA sobre todo amplifica los ataques sobre debilidades EXISTENTES (CVE sin parchear, contraseñas reutilizadas, secretos expuestos) más que inventar nuevas, y las encuentra de forma automática, rápida y a escala. Así que la mejor preparación es blindar los fundamentos en el orden correcto: parcheo de CVE + monitoreo de dependencias, dejar de reutilizar contraseñas + MFA, quitar secretos expuestos, mínimo privilegio, reducir la superficie pública, registros/IOC, copias de seguridad.
Medidas de seguridad para la era de la IA que funcionan y que no: por qué también atacan a los sitios pequeños
Cuatro ideas equivocadas de la era de la IA corregidas: (1) demasiado pequeño para ser objetivo → los ataques automatizados no necesitan que un humano elija el objetivo; (2) necesita un control nuevo especial → los fundamentos siguen funcionando mejor; (3) un producto te hace seguro → diseño de prevención antes que detección; (4) el código de IA es rápido, así que es seguro → puede desplegarse con vulnerabilidades, así que revisa antes de publicar. Lo que funciona son los aburridos fundamentos en el orden correcto.
Fundamentos de copias de seguridad: la regla 3-2-1 y un plan de recuperación que sobrevive al ransomware
«Tengo una copia de seguridad» no basta; solo es útil una copia que has verificado que puedes restaurar. Los fundamentos: la regla 3-2-1 (tres copias, dos tipos de medio, una fuera del sitio). Para el ransomware además necesitas al menos una copia «offline o inmutable» — una copia siempre conectada se cifra junto con el original. La sincronización en la nube no es una copia de seguridad (también replica borrados y cifrado). El versionado y una prueba de restauración periódica completan la práctica.
Elegir bien la MFA: qué significa «resistente al phishing» y por qué el SMS es débil
La MFA combina categorías distintas de factores. Los códigos introducidos a mano pueden retransmitirse mediante phishing; el SMS depende además del control del número. Para cuentas importantes, prioriza métodos resistentes al phishing, como passkeys o llaves FIDO2, y revisa la verificación del usuario y la recuperación.
¿Sigues con Windows 10? Los riesgos de seguridad de usarlo tras el fin de soporte
El soporte ordinario de Windows 10 Home/Pro y variantes 22H2 terminó el 14 de octubre de 2025. La guía oficial revisada el 16 de octubre de 2026 indica ESU de consumo hasta el 12 de octubre de 2027, con continuación automática para quienes ya están inscritos. Comprueba la inscripción, las actualizaciones y las condiciones regionales, y prioriza migrar a un SO que reciba actualizaciones. LTSC/IoT y ESU empresarial son programas separados.
Proteger un portátil que llevas contigo — defensa contra robo, pérdida y miradas indiscretas
Llevar un portátil asume que lo perderás o te lo robarán. La defensa principal es configurarlo para que una pérdida no filtre el contenido: cifrado de disco (BitLocker/FileVault), un inicio de sesión fuerte con bloqueo automático corto, y bloqueo/localización remotos. Con HTTPS en todas partes, el sniffing de Wi-Fi público es de menor prioridad; las amenazas reales son los puntos de acceso falsos, las miradas indiscretas y alejarse del equipo. No confíes en exceso en una VPN — endurece primero el dispositivo.
¿Son seguros los gestores de contraseñas? Cómo funcionan, nube vs local y cómo elegir
Un gestor de contraseñas ayuda a usar una contraseña robusta y distinta para cada servicio. El cifrado de conocimiento cero está diseñado para proteger el contenido incluso si se filtran datos cifrados del proveedor, pero la seguridad también depende de la fortaleza de la contraseña maestra, la configuración de cifrado y la seguridad del dispositivo. Usa MFA para evitar accesos no autorizados y elige nube o local según el uso.
Los peligros del Wi-Fi público: los puntos de acceso falsos y las advertencias de certificado importan más que el sniffing
El 'sniffing' en Wi-Fi público está mayormente mitigado por HTTPS y ahora es de menor prioridad. Los riesgos reales son (1) conectarte tú mismo a un punto de acceso falso (gemelo malvado), (2) ignorar advertencias de certificado y (3) exponer tu dispositivo en la red compartida. Las medidas más eficaces son simples: usa el anclaje a red móvil de tu teléfono, confía en HTTPS y en las advertencias de certificado, y no te unas automáticamente a SSID desconocidos. Una VPN es la siguiente capa.
La base de seguridad para desarrolladores independientes y pequeños operadores: controles estándar en orden de prioridad
La base no es 'todo igual de importante'. El orden de prioridad de este sitio: 1) cuentas de administración, dominio y correo (MFA), 2) secretos y código, 3) la propia app, 4) parchear, detectar, recuperar. Con tiempo finito, complétala de arriba abajo. La mayoría de las brechas graves no vienen de ataques novedosos sino de que falta un control básico.
El mínimo de seguridad de una organización: seis prioridades deducidas de los incidentes reales de Japón en 2026
El «mínimo» de una organización debe fijarse por dónde los incidentes reales rompieron la defensa, no por una lista de productos. Si se ponen en fila los incidentes de Japón en 2026, las entradas difieren —un dispositivo VPN, software de terceros, una función de consulta, no divulgada—, pero las causas que ampliaron el daño se reducen a seis: (1) cerrar los dispositivos expuestos a internet con plazo, (2) acotar las cuentas de mantenimiento, contratistas y exempleados, (3) vigilar volumen y horario, (4) conservar registros lo bastante como para mirar atrás, (5) no guardar datos que ya no hacen falta, (6) repriorizar según KEV. La visión de este sitio: el mínimo es decidir quién se da cuenta, con qué número y cuándo.
Inventario de seguridad: 7 comprobaciones que pasan por alto quienes operan varios servidores
Para operadores solos/pequeños, los incidentes vienen menos de controles ausentes que de estado sin seguimiento. La frontera es el PC que guarda tus claves. Prioriza el 2FA según qué cuenta permite recuperar las demás (el correo primero), anota qué clave SSH abre qué servidor y borra las claves duplicadas, las que no se usan y los registros sobrantes, quita las contraseñas en texto plano de la nube, remedia de forma reversible una a una, y mantén los secretos fuera del registro. Inventario antes de añadir herramientas.
Seguridad básica del smartphone: proteger el único dispositivo que guarda tus contraseñas, tus pagos y tu identidad
Un teléfono concentra el 2FA, el correo, la banca y la identidad en un solo dispositivo, así que perderlo afecta a muchos servicios (un punto único de fallo). La protección más eficaz no es una app de seguridad: (1) un bloqueo fuerte + autobloqueo corto (el código es la clave de cifrado); (2) actualizaciones automáticas del SO/apps; (3) tienda oficial + revisión de permisos; (4) configurar de antemano el bloqueo/borrado remoto; (5) mantener un respaldo de tu 2FA. iOS/Android ya cifran y aíslan por defecto.
¿Es seguro guardar tus contraseñas en Google Drive? Cómo conservarlas correctamente
Guardar contraseñas en un Documento/Hoja de Google en texto plano es peligroso: una cuenta de Google se convierte en el punto único de fallo de cada contraseña — la toma de la cuenta, una app conectada maliciosa o el phishing las filtran todas de golpe. La opción más segura es un gestor de contraseñas dedicado (el contenido sigue cifrado incluso al sincronizar). Si debes usar Drive, guarda solo un archivo de bóveda cifrado y pon MFA resistente al phishing en la cuenta.