La app a medida también es superficie de ataque

Cuando una empresa desarrolla software a medida, casi siempre se piensa en la funcionalidad y el plazo. La seguridad aparece después, si aparece.

Y sin embargo, un sistema propio expuesto a internet es exactamente lo mismo que cualquier otro servicio expuesto: una puerta.

Lo que más encontramos en aplicaciones hechas a medida:

• Falta de control de autorización. El usuario está logueado, sí, pero nadie valida que el pedido número 1043 sea suyo. Cambiando un número en la URL se ven datos de otro cliente. Es el error más común y el más fácil de explotar.
• Credenciales y claves de API escritas en el código, que después terminan en un repositorio.
• Consultas armadas concatenando texto, con inyección SQL de manual.
• Carga de archivos sin validación de tipo ni de tamaño.
• Cero registro de auditoría: no hay forma de saber quién hizo qué.
• Dependencias sin actualizar desde el día del despliegue.

Todo esto cuesta muchísimo menos si se contempla desde el diseño que si se corrige después. Autorización desde el primer día, secretos fuera del código, validación de todo lo que entra, registro de auditoría y actualización de dependencias como rutina, no como proyecto.

Desarrollar seguro no encarece el proyecto. Encarece no haberlo hecho.