Mejores Prácticas de Seguridad

Mínimo privilegio para IAM de servicio, usuarios de base de datos y HTTP saliente: estas reglas refuerzan las API de Node.js contra fallos de clase OWASP.

Cómo Usar Esta Lista

• Ejecútala antes del lanzamiento de la API pública y la preparación anual de pruebas de penetración.
• Combínala con OWASP Top 10 para APIs como documento de mapeo.
• Agrega grep en CI para fugas de process.env, fetch(req.body.url) y autenticación faltante en nuevas rutas.
• Asigna propietarios para el triaje de CVE de dependencias y la rotación de secretos.

A - Entrada y Autorización

• Valida cuerpos, consultas, parámetros y encabezados con Zod o JSON Schema. unknown de entrada, DTO tipado de salida.
• Verifica la autorización a nivel de objeto en cada ruta :id. tenantId y ownerId deben coincidir con el llamador.
• Devuelve 404 para acceso entre inquilinos, no 403. Evita la enumeración de recursos.
• Limita la tasa de los puntos finales de autenticación, OTP y restablecimiento de contraseña. express-rate-limit o equivalente de puerta de enlace.
• Nunca extiendas req.body en la creación/actualización de ORM. Solo campos explícitamente permitidos.

B - Secretos y Configuración

• Secretos de vault/SSM/k8s Secrets en producción. No .env incorporado en las imágenes.
• Módulo env único con análisis Zod al inicio. Prohíbe lecturas dispersas de process.env en el código de la aplicación.
• Redacta secretos en los serializadores de Pino. authorization, cookies, cadenas de conexión.
• Rota las claves de firma de JWT y las contraseñas de DB sin despliegue de código. Documenta los pasos del manual.
• Usuario de DB con mínimo privilegio por servicio. SELECT/INSERT solo en las tablas necesarias, no SUPERUSER.

C - Red y SSRF

• safeFetch central para URLs proporcionadas por el usuario. Resolución de DNS + bloqueo de IPs privadas (Protecciones SSRF).
• Deshabilita el seguimiento de redirecciones en URLs de usuario salientes. Vuelve a validar cada salto o rechaza 3xx.
• Lista blanca de egreso a nivel de red para pods sensibles. Defensa en profundidad más allá del código de la aplicación.
• Bloquea IPs de metadatos de la nube (169.254.169.254). Objetivo común de SSRF en AWS/GCP.
• mTLS o tokens firmados para llamadas de servicio internas. No solo confianza en la IP.

D - Encabezados, CORS y Clientes de Navegador

• Helmet en cada aplicación Express/Fastify orientada al navegador. Ajusta CSP con el equipo de frontend.
• Lista blanca de CORS con credenciales, nunca *. Refleja los orígenes permitidos exactos.
• Maneja OPTIONS antes del middleware de autenticación. El preflight no debe devolver 401.
• Cookies httpOnly para sesiones de navegador cuando sea posible. Reduce el impacto del robo de tokens por XSS.
• Deshabilita x-powered-by y las pilas de errores detalladas en respuestas JSON 5xx.

E - Cadena de Suministro y Operaciones

• npm ci + npm audit --audit-level=high en CI. Consulta Escaneo de Dependencias.
• Confirma el archivo lockfile; revisa nuevas dependencias en PR. Typosquat y scripts postinstall.
• Inventario de rutas en OpenAPI; desaprueba puntos finales no utilizados. Higiene API9.
• Ejecuta contenedores como USER node no root. Sistema de archivos raíz de solo lectura donde sea posible.
• Lista de verificación de revisión de seguridad en la plantilla de lanzamiento para cambios de autenticación importantes.

Preguntas Frecuentes

Relacionado

• Conceptos Básicos de Seguridad - ejemplos introductorios
• OWASP Top 10 para APIs - mapeo de riesgos
• Reglas de Seguridad - estándares de codificación del equipo
• Mejores Prácticas de Configuración - higiene de secretos

Versiones de la pila: Esta página fue escrita para Node.js 24.18.0 (LTS Activo), npm 10+, TypeScript 5.6+, Express 5, Fastify 5 y NestJS 11.