Curso de Seguridad para Angular para Empresas — OWASP y control

Qué es XSS y cómo se explota en Angular

Contextos vulnerables en Angular (templates, innerHTML, bypass)

Sanitización automática en Angular y su alcance

Diferencias entre `bypassSecurityTrustHtml` y `DomSanitizer`

Ejemplos de ataques XSS en Angular y cómo prevenirlos

Cómo manejar HTML dinámico de forma segura

Buenas prácticas en interpolaciones y bindings

Uso de `ngTemplateOutlet` y seguridad contextual

Evaluación de librerías externas que inyectan HTML

Simulación y mitigación de un ataque XSS

Validaciones básicas vs validaciones seguras

Formularios reactivos vs template-driven

Validación de campos obligatorios, tipos y límites

Validaciones asíncronas y control de errores

Prevención de inyecciones y manipulaciones

Prevención de inputs peligrosos en campos libres

Cross-field validation y lógica de negocio

Feedback visual claro sin exponer datos internos

Sanitización manual en casos específicos

Validación en cliente vs servidor: responsabilidades

Qué es JWT y cómo se estructura un token

Flujo de login y obtención del JWT

Almacenamiento seguro de tokens (localStorage vs cookies)

Riesgos del token expuesto en cliente

Estrategia de expiración y refresco automático

Interceptores para inyección de token en peticiones

Decodificación de JWT y control de sesión en Angular

Cierre de sesión y borrado seguro del token

Comprobación de expiración del token en frontend

Protección contra replay attacks y fijación de sesión

Diferencias entre autenticación y autorización

Protección de rutas con `canActivate` y `canLoad`

Implementación de `AuthGuard` personalizado

Inyección dinámica de permisos desde backend

Directivas personalizadas para control visual (`*ngIfRole`)

Control de botones, secciones y formularios según rol

Jerarquía de roles y lógica de control

Redirección automática según permisos

Patrón Role-Based Access Control (RBAC) en Angular

Práctica: protección de módulo administrativo

Rutas públicas, protegidas y restringidas

Lazy loading: beneficios y riesgos

Uso de `canLoad` para evitar carga de módulos no autorizados

Redirección de rutas no autorizadas

Rutas hijas y control granular

Mensajes de error y notificaciones seguras

Ocultar rutas según contexto del usuario

URLs sensibles: cómo evitar filtraciones

Prevención de navegación maliciosa desde scripts

Auditoría de rutas y roles habilitados

Qué es CSRF y cómo puede afectar a una SPA

Diferencias entre CSRF en cookie y token-based auth

Configuración segura de CORS en APIs externas

Uso de SameSite, HttpOnly y Secure en cookies

Medidas de protección desde el backend

Recomendaciones para formularios sensibles

Evitar peticiones GET con efectos colaterales

Control de origen de las peticiones en el cliente

Detección de peticiones maliciosas simuladas

Cómo simular y mitigar un ataque CSRF

Qué mostrar y qué no mostrar en producción

Prevención de exposición de datos internos

Tratamiento genérico vs específico de errores

Gestión de errores con interceptores HTTP

Logs y seguimiento de errores sin comprometer privacidad

Creación de servicio centralizado de error handling

Diferenciar errores funcionales y técnicos

Uso de `HttpStatus` y códigos claros

Traducción de mensajes sin información crítica

Patrón global de gestión de errores en Angular

Autenticación segura en llamadas a APIs

Protección de endpoints con tokens o headers personalizados

Interceptores para control de tráfico y errores

Prevención de sniffing y MITM con HTTPS

Prevención de llamadas no deseadas con filtros de dominio

Cifrado de parámetros sensibles (ID, email, etc.)

Serialización segura de datos en salida

Protección ante respuestas JSON con código ejecutable

CORS y cabeceras de seguridad

Simulación de ataque con cliente externo

Uso correcto de `localStorage` y `sessionStorage`

Qué datos NUNCA guardar en cliente

Alternativas más seguras: cookies con `HttpOnly`

Encriptación de valores en almacenamiento local

Almacenamiento por sesión vs persistente

Uso de IndexedDB con control de acceso

Borrado seguro del almacenamiento en logout

Revisión periódica del contenido en desarrollo

Prevención de lectura mediante extensiones

Técnicas de minimización de exposición

Evaluación de librerías antes de instalar

Verificación de origen, versiones y mantenimiento

Riesgos comunes en librerías de UI, gráficos o autenticación

Auditoría con `npm audit`, `snyk`, etc.

Actualización segura sin romper compatibilidad

Control de acceso a servicios externos desde Angular

Revisión de código cargado en runtime (import dinámico)

Inclusión de SDKs externos sin afectar seguridad

Mitigación de ataques de supply chain

Firma digital y hash de scripts externos

Técnicas básicas para evitar automatismos

Captchas visibles e invisibles en Angular

Protección de endpoints con rate limiting desde backend

Bloqueo condicional por patrón de uso sospechoso

Control de velocidad de interacción en formularios

Integración con servicios de detección de bots

Logging de actividad sospechosa en cliente

Señales de comportamiento inusual desde frontend

Buenas prácticas de UX sin penalizar usuarios reales

Simulación y prueba de scripts automatizados

Qué es Content Security Policy (CSP)

Cómo definir CSP en Angular apps servidas

Configurar metaetiquetas de seguridad

Prevención de ejecución de scripts no confiables

Protección frente a carga de recursos externos maliciosos

Configuración segura de iframe y embed

Headers seguros: X-Frame-Options, X-Content-Type-Options

Validación de certificados HTTPS en producción

Estrategias de carga segura de contenido dinámico

Compatibilidad CSP + Angular: tips clave

OWASP ZAP: escaneo de seguridad para Angular

Lighthouse: accesibilidad y vulnerabilidades básicas

Postman como herramienta de simulación de ataques

Seguridad desde tests unitarios y de integración

Generación de informes de vulnerabilidades

Automatización en CI/CD con seguridad

Pruebas manuales controladas en entorno de staging

Simulación de ataques XSS y CSRF en entorno seguro

Análisis de dependencias con herramientas online

Checklist para auditoría de seguridad frontend

Diseño de una SPA con rutas, login y perfiles

Implementación de login seguro con JWT

Protección de rutas y autorización por rol

Formulario avanzado con validaciones robustas

Consumo de API protegida con token y headers

Gestión de errores y feedback seguro

Simulación de ataques y su prevención

Aplicación de CSP, sanitización, interceptores

Checklist de seguridad aplicada

Demo y evaluación final de la solución