Buenas prácticas de seguridad: Checklist para actualizar, gestionar contraseñas, permisos y HTTPS

1. Actualizaciones y parcheo

• Mantener el sistema operativo actualizado con parches de seguridad aplicados regularmente.
• Mantener actualizadas las aplicaciones y bibliotecas (motores web, frameworks, dependencias de lenguaje).
• Automatizar actualizaciones críticas o establecer un proceso regular de revisión y despliegue de parches.
• Probar parches en entornos de staging antes de aplicarlos en producción.
• Documentar versiones y cambios y conservar registros de despliegue.
• Suscribirse a avisos de seguridad de los proveedores y proyectos críticos.

2. Gestión de contraseñas

• Definir una política de contraseñas: longitud mínima recomendada ≥ 12 caracteres y favorecer frases de contraseña.
• Requerir complejidad razonable y evitar políticas que inciten a contraseñas débiles (evitar cambios forzados demasiado frecuentes).
• Almacenar contraseñas con hashing fuerte: Argon2id, bcrypt o scrypt con parámetros actuales apropiados; nunca almacenar textos en claro.
• Habilitar autenticación multifactor (MFA/2FA) para cuentas administrativas y, cuando sea posible, para usuarios.
• Integrar o recomendar el uso de gestores de contraseñas (por ejemplo, Vault, Bitwarden, 1Password) para evitar reutilización y contraseñas débiles.
• Implementar bloqueo por intentos fallidos y CAPTCHAs para mitigar ataques de fuerza bruta.
• Evitar enviar contraseñas por correo en texto plano; usar enlaces de restablecimiento con tokens de un solo uso y expiración corta.
• Revisar y revocar credenciales no utilizadas; auditar cuentas de servicio y claves API.

3. Gestión de permisos y roles

• Aplicar el principio de mínimo privilegio: dar a cada cuenta solo los permisos necesarios para su función.
• Segregar roles administrativos: separar tareas (p.ej., administración de usuarios, despliegue, auditoría).
• Revisar roles y permisos periódicamente (por ejemplo, trimestralmente) y después de cambios de personal.
• Usar cuentas de servicio con permisos limitados y claves rotadas periódicamente.
• Registrar y auditar acciones administrativas (logs de cambios en permisos, inicios de sesión privilegiados).
• Implementar control de acceso basado en roles (RBAC) o políticas equivalentes, y documentar cada rol.
• Comprobar permisos de archivos y carpetas del servidor: eliminar permisos de escritura innecesarios, seguir convenios seguros (por ejemplo, 644 para archivos, 640/750 donde aplique).

4. HTTPS y configuración TLS

• Forzar HTTPS para todo el tráfico; redirigir HTTP a HTTPS con redirecciones 301/308.
• Usar certificados válidos de una CA de confianza; automatizar renovación (por ejemplo, Let's Encrypt + Certbot o ACME).
• Configurar TLS moderno: habilitar TLS 1.2 y 1.3, deshabilitar TLS 1.0 y 1.1.
• Deshabilitar suites de cifrado débiles y priorizar suites ECDHE con AEAD (por ejemplo, AES-GCM, ChaCha20-Poly1305).
• Habilitar Perfect Forward Secrecy (PFS) mediante ECDHE).
• Habilitar OCSP stapling y usar parámetros DH robustos (si aplica).
• Añadir cabeceras de seguridad: Strict-Transport-Security (HSTS) con includeSubDomains; ejemplo: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload.
• Asegurar cookies con las banderas Secure, HttpOnly y SameSite donde aplique.
• Probar la configuración TLS regularmente con herramientas como SSL Labs y corregir problemas reportados.

5. Monitorización, backups y recuperación

• Mantener logs centralizados y protegerlos contra modificación; revisar alertas de seguridad.
• Configurar copias de seguridad regulares y probar restauraciones periódicamente.
• Encriptar backups en tránsito y en reposo; almacenar claves de forma segura.
• Implementar monitoreo de integridad de archivos y escaneo de vulnerabilidades (SCA/DAST/Dependency scanners).

6. Buenas prácticas adicionales

• Minimizar la superficie de ataque: deshabilitar servicios innecesarios y cerrar puertos no utilizados.
• Usar firewalls y controles de red (seguridad perimetral y micro-segmentación cuando sea posible).
• Revisar y actualizar configuraciones por defecto (usuarios, contraseñas, puertos, mensajes de error que filtren información).
• Implementar políticas de respuesta a incidentes y realizar simulacros.
• Formar al personal en prácticas seguras (phishing, gestión de credenciales, despliegues seguros).

7. Referencias rápidas

• Test de configuración TLS: SSL Labs.
• Hashing recomendado: Argon2id (preferible), bcrypt o scrypt.
• Automatización certificados: Let's Encrypt (ACME).

Usa este checklist como punto de partida. Adáptalo al contexto y nivel de riesgo de tu organización, y documenta cada verificación con fecha y responsable.