Glosario de seguridad web y WordPress

A

• 

  Ataque a la cadena de suministro

  Un ataque a la cadena de suministro (supply chain attack) compromete a un proveedor de software, una dependencia o un canal de actualización para…

• 

  Ataque DDoS

  Un ataque DDoS (denegación de servicio distribuida) busca dejar un sitio o un servidor fuera de servicio inundándolo de tráfico o de peticiones enviadas…

• 

  Ataque de fuerza bruta

  Un ataque de fuerza bruta consiste en probar automáticamente un número enorme de contraseñas, o de pares de nombre de usuario y contraseña, hasta…

• 

  Autenticación de dos factores (2FA)

  La autenticación de dos factores (2FA) añade a la contraseña una segunda prueba de identidad al iniciar sesión: un código temporal calculado por una…

C

• 

  Cabeceras de seguridad HTTP

  Las cabeceras de seguridad HTTP son instrucciones que el servidor envía con cada página y que el navegador aplica: imponer HTTPS, prohibir que la…

• 

  Certificado TLS

  Un certificado TLS es un archivo electrónico que asocia un nombre de dominio a una clave pública, firmado por una autoridad de certificación reconocida…

• 

  Clickjacking

  El clickjacking (secuestro de clics) consiste en mostrar un sitio legítimo dentro de un marco invisible, superpuesto a una página trampa: la víctima cree…

• 

  Content Security Policy (CSP)

  La Content Security Policy (CSP) es una cabecera HTTP con la que un sitio indica al navegador qué orígenes de scripts, estilos, imágenes o…

• 

  Credential stuffing

  El credential stuffing (relleno de credenciales) es un ataque automatizado que prueba en un sitio parejas de usuario y contraseña robadas en filtraciones de…

• 

  CSRF

  El CSRF (cross-site request forgery, falsificación de petición en sitios cruzados) es un ataque que hace que el navegador de un usuario conectado envíe,…

• 

  CVE

  Una CVE (Common Vulnerabilities and Exposures) es un identificador público y único, con la forma CVE-2024-4577, asignado a una vulnerabilidad informática divulgada. Este catálogo,…

D

• 

  Deserialización insegura

  La deserialización insegura es una vulnerabilidad que aparece cuando una aplicación reconstruye objetos a partir de datos controlados por un atacante, por ejemplo con…

E

• 

  Ejecución remota de código (RCE)

  La ejecución remota de código (RCE, Remote Code Execution) es una vulnerabilidad que permite a un atacante hacer que un servidor ejecute sus propias…

• 

  Enumeración de usuarios

  La enumeración de usuarios es una técnica de reconocimiento que consiste en elaborar la lista de nombres de usuario válidos de un sitio aprovechando…

• 

  Escalada de privilegios

  La escalada de privilegios es un ataque que permite obtener más permisos de los concedidos al principio: un visitante se convierte en administrador, un…

F

• 

  Fingerprinting

  El fingerprinting, o toma de huellas, consiste en identificar el software que hace funcionar un sitio, su versión y sus componentes a partir de…

H

• 

  Hash bcrypt

  bcrypt es una función de hash diseñada para almacenar contraseñas. Incorpora una sal aleatoria y un factor de coste ajustable que hace que cada…

• 

  Honeypot (señuelo)

  Un honeypot, o señuelo, es un cebo instalado a propósito para atraer a los atacantes: un servidor ficticio, una URL inexistente o un campo…

• 

  HSTS

  HSTS (HTTP Strict Transport Security) es una cabecera HTTP que ordena al navegador contactar con un sitio solo por HTTPS durante un tiempo determinado.…

I

• 

  IDOR

  Una vulnerabilidad IDOR (Insecure Direct Object Reference) permite acceder a los datos de otro usuario con solo cambiar un identificador en una petición, por…

• 

  Inclusión de archivos (LFI / RFI)

  La inclusión de archivos es una vulnerabilidad de PHP en la que un atacante controla la ruta que se pasa a include o require.…

• 

  Inyección SQL

  La inyección SQL es un ataque que cuela fragmentos de lenguaje SQL en un dato enviado a un sitio para desviar la consulta que…

M

• 

  Malware (software malicioso)

  Un malware (software malicioso) es un programa o un fragmento de código introducido en un sistema para perjudicar a su propietario o a sus…

N

• 

  Nonce

  Un nonce es un valor, en principio aleatorio y de un solo uso, que se añade a un intercambio para impedir que se reproduzca…

P

• 

  Parche virtual

  Un parche virtual (virtual patching) es una regla de filtrado que bloquea la explotación de una vulnerabilidad concreta sin modificar el código del software…

• 

  Phishing (suplantación de identidad)

  El phishing (suplantación de identidad) es una técnica de estafa que imita un mensaje de una entidad de confianza (banco, proveedor de hosting, administración,…

• 

  Puerta trasera (backdoor)

  Una puerta trasera (backdoor) es un acceso oculto, previsto en un software o instalado tras una intrusión, que permite volver a entrar en un…

• 

  Puntuación CVSS

  La puntuación CVSS (Common Vulnerability Scoring System) es una nota de 0 a 10 que mide la gravedad técnica de una vulnerabilidad a partir…

R

• 

  Ransomware (secuestro de datos)

  Un ransomware es un software malicioso que bloquea el acceso a un sistema o cifra sus datos y después exige un rescate para devolverlos.…

S

• 

  Salt (sal criptográfica)

  La salt (sal criptográfica) es un valor aleatorio y único que se añade a cada contraseña antes de calcular su hash. Así, dos contraseñas…

• 

  SSRF

  Una vulnerabilidad SSRF (Server-Side Request Forgery, falsificación de peticiones del lado del servidor) permite a un atacante hacer que el servidor envíe peticiones a…

T

• 

  TLS / SSL

  TLS (Transport Layer Security) es el protocolo que cifra los intercambios entre un navegador y un servidor, garantiza su integridad y autentica al servidor…

V

• 

  Vulnerabilidad XSS

  Una vulnerabilidad XSS (cross-site scripting) es un fallo que permite a un atacante hacer que se ejecute su propio JavaScript en la página que…

• 

  Vulnerabilidad zero-day (día cero)

  Una vulnerabilidad zero-day (de «día cero») es un fallo de seguridad que los atacantes explotan antes de que el fabricante del software lo haya…

W

• 

  WAF (cortafuegos de aplicaciones web)

  Un WAF (Web Application Firewall, cortafuegos de aplicaciones web) es un filtro situado delante de una aplicación web que inspecciona cada petición HTTP (URL,…

X

• 

  XML-RPC

  XML-RPC es un protocolo de llamada a funciones remotas mediante mensajes XML. En WordPress, el archivo xmlrpc.php permite publicar desde una aplicación externa y…