Qué es la WSTG y el flujo de una prueba web

En Seguridad web con OWASP Top 10 aprendió a reconocer las fallas más comunes de una aplicación y cómo se previenen. Este curso da el siguiente paso: no se trata de saber que existe la inyección SQL, sino de probar de forma ordenada si una aplicación concreta la sufre, demostrarlo sin causar daño y reportarlo para que se corrija. Para eso hace falta un método, y ese método es la WSTG.

Qué es la WSTG

La OWASP Web Security Testing Guide (Guía de pruebas de seguridad web de OWASP), o WSTG, es un documento abierto y gratuito que describe, categoría por categoría, qué se debe probar en una aplicación web y cómo. No es una herramienta que se instale ni un escáner que se ejecute: es la lista ordenada de todo lo que conviene revisar, de modo que dos personas distintas lleguen a resultados comparables y no se quede nada sin mirar.

La WSTG organiza las pruebas en bloques. Entre ellos están la recolección de información, la gestión de configuración, las pruebas de autenticación, la gestión de sesión, la autorización, la validación de entradas, la lógica de negocio, las pruebas del lado del cliente y las pruebas de API. Cada prueba tiene un identificador estable, por ejemplo el de la referencia directa a objeto insegura dentro de autorización, lo que permite citarla en un informe sin ambigüedad.

Breve historia y contexto

OWASP, el Open Worldwide Application Security Project, nació en 2001 como una comunidad abierta dedicada a la seguridad del software. El Top 10 apareció en 2003 y se volvió la lista de riesgos más conocida. La guía de pruebas creció en paralelo: la versión 3 se publicó en 2008 y la versión 4, ya con el nombre WSTG, hacia 2014, con revisiones posteriores. Mientras el Top 10 responde "qué riesgos existen", la WSTG responde "cómo compruebo si esta aplicación los tiene". Son complementarias: el Top 10 educa, la WSTG audita.

Por qué importa en el trabajo

Sin método, una prueba depende del estado de ánimo: un día revisa el login a fondo y otro día se le olvida la gestión de sesión. La WSTG convierte la prueba en un recorrido que puede repetir, dividir en equipo y defender ante un cliente. Para quien trabaja en un equipo de seguridad ofensiva, en consultoría o incluso en desarrollo revisando su propio producto, seguir una guía reconocida significa cobertura, trazabilidad y un informe que otros entienden. Si no se domina, es fácil entregar un trabajo incompleto que deja fuera justo la falla que importaba.

El flujo de una prueba web

Toda prueba seria sigue, a grandes rasgos, el mismo flujo:

Fase	Qué ocurre
Alcance y autorización	Se define por escrito qué se puede probar, qué no, en qué horario y con qué cuentas. Sin esto, no se empieza.
Reconocimiento y mapeo	Se explora la aplicación como un usuario, se catalogan páginas, parámetros y tecnologías.
Pruebas por categoría	Se recorre la WSTG: autenticación, sesión, autorización, entradas, lógica, API.
Explotación controlada	Se confirma cada hallazgo con una prueba de concepto mínima, sin dañar datos.
Informe	Se documenta cada hallazgo con impacto, pasos para reproducir y remediación.

Fíjese en que probar es solo una parte. El trabajo empieza con el papel firmado y termina con el informe escrito.

Qué cambia en este nivel

Hasta ahora miraba la web desde la defensa. Aquí adopta el lente del atacante, pero con una regla que no se negocia: siempre con autorización y en laboratorio. La diferencia entre un profesional y un delincuente no es la técnica, es el permiso y la intención de ayudar a corregir.

Conceptos clave

Concepto	Qué significa
Alcance	Lo que el permiso autoriza a probar: dominios, cuentas, horarios.
Superficie de ataque	El conjunto de puntos por donde entran datos a la aplicación.
Vector	La vía concreta por la que se intenta aprovechar una falla.
Prueba de concepto (PoC)	La demostración mínima de que el fallo existe, sin causar daño.
Falso positivo	Algo que parecía un fallo pero, al confirmarlo, no lo era.
Remediación	La recomendación para corregir la causa del hallazgo.