Resumen de las mejores prácticas de seguridad

Lista de verificación orientada a OWASP para APIs HTTP y gRPC en Go.

Aplica estas reglas en las plantillas de servicio, revisión de código y CI para que cada API de Go falle cerrado y se envíe con una higiene medible de la cadena de suministro.

Cómo usar esta lista

• Marca los elementos a medida que la plantilla de servicio Go de tu organización los adopte.
• Codifica los controles de Nivel A en CI (govulncheck, lint, pruebas de integración para autenticación).
• Mapea los elementos de Nivel B a las categorías del OWASP API Security Top 10 en tu registro de riesgos.
• Revisa cuando expongas nuevas rutas públicas, agregues clientes de navegador o incorpores servicios gRPC.

A - Endurecimiento del transporte y del servidor

• Establece ReadHeaderTimeout en cada http.Server de producción. Bloquea ataques de cabeceras lentas antes de que se ejecuten los manejadores.
• Configura ReadTimeout, WriteTimeout e IdleTimeout según los SLO. Previene conexiones colgadas y fugas de descriptores.
• Establece tls.Config.MinVersion a TLS 1.2 o superior en los listeners TLS. Documenta el piso del protocolo aceptable para auditorías.
• Sirve cadenas de certificados completas y monitoriza las fechas NotAfter. Las cadenas incompletas causan fallos en el cliente; la expiración causa interrupciones.
• Usa mTLS o identidad de malla para llamadas de servicio a servicio cuando el modelo de amenazas lo requiera. La ubicación de red no es autenticación.
• Nunca establezcas InsecureSkipVerify en clientes salientes de producción. Deshabilita la verificación de certificados y nombres de host.
• Inyecta instancias de http.Client configuradas con tiempos de espera; nunca uses http.DefaultClient en manejadores. El cliente por defecto no tiene plazo.

B - Autenticación y autorización

• Autentica en el middleware antes de los manejadores de negocio; falla cerrado ante credenciales faltantes. Devuelve 401, nunca un fallback anónimo en rutas protegidas.
• Devuelve 403 cuando los usuarios autenticados carecen de permisos; reserva 401 para fallos de autenticación. Las semánticas claras ayudan a los clientes y a la monitorización.
• Fija los algoritmos JWT en la validación; rechaza valores alg inesperados. Previene ataques de confusión de algoritmos.
• Usa tokens de acceso de corta duración y una estrategia documentada de rotación o revocación. Limita el radio de acción de los tokens robados.
• Verifica la autorización a nivel de recurso, no solo roles globales. Previene IDOR incluso cuando role: user está presente.
• Protege las rutas /metrics, /debug y de administrador con el mismo rigor de autenticación que las APIs. Los atacantes escanean los valores por defecto.
• Almacena los principales del contexto con tipos de clave no exportados. Evita colisiones de claves de cadena entre paquetes de middleware.

C - Entrada, salida y datos

• Limita los cuerpos de solicitud con http.MaxBytesReader antes de decodificar. Rechaza cargas útiles excesivas de forma temprana.
• Valida JSON con DTOs tipados más reglas semánticas después del análisis sintáctico. Un JSON válido aún puede ser peligroso.
• Usa DisallowUnknownFields en APIs públicas estrictas cuando sea apropiado. Expone errores del cliente y sondeos.
• Parametriza todo el SQL; nunca formatees consultas con entrada del usuario. Detiene la inyección SQL en el origen.
• Renderiza HTML con html/template, no con text/template. Auto-escapa el contenido en contexto HTML.
• Devuelve mensajes de error genéricos a los clientes; registra detalles en el servidor con IDs de solicitud. Previene fugas de información.
• Evita la asignación masiva: separa las estructuras de entrada pública de los modelos de persistencia. Bloquea la escalada de privilegios a través de campos JSON.

D - Controles del navegador y del borde

• Establece las cookies de sesión HttpOnly, Secure y SameSite apropiadas. Reduce la exfiltración XSS y el abuso de cookies entre sitios.
• Requiere tokens CSRF en solicitudes mutantes autenticadas por cookies. Los navegadores envían cookies automáticamente; CORS no detiene CSRF.
• Permite el origen CORS; nunca reflejes valores Origin arbitrarios. CORS abierto más cookies permite el robo de datos.
• Aplica cabeceras de seguridad (CSP, HSTS, X-Content-Type-Options, ancestros de frame) en todas las respuestas, incluidos los errores. Las cabeceras no deben depender solo de las rutas de éxito.
• Limita la tasa de inicio de sesión y los puntos finales costosos de forma más agresiva que las comprobaciones de estado. Ralentiza el stuffing de credenciales y el abuso.
• Confía en X-Forwarded-For solo de balanceadores de carga conocidos. Previene la suplantación de IP del cliente para límites de tasa y registros de auditoría.

E - Secretos y configuración

• Carga secretos desde el entorno o gestores de secretos; nunca incluyas credenciales en el código. Falla el inicio del proceso cuando faltan los secretos requeridos.
• Compara claves API y HMACs con crypto/subtle.ConstantTimeCompare. Reduce los canales laterales de temporización.
• Hashea contraseñas con bcrypt o argon2 a través de golang.org/x/crypto. Nunca almacenes ni compares contraseñas en texto plano.
• Redacta tokens y PII de los registros estructurados. Los registros se convierten en un canal secundario de brecha.
• Separa las claves de desarrollo y producción; rota en la salida de un empleado e incidentes. Limita el radio de acción de la configuración filtrada.

F - Cadena de suministro y operaciones

• Ejecuta govulncheck ./... en CI y falla ante hallazgos alcanzables y accionables. Detecta CVEs conocidas en tu grafo de importación.
• Incluye go.sum y ejecuta go mod verify en CI. Detecta la manipulación de módulos en la descarga.
• Genera y almacena SBOM por artefacto de lanzamiento. Acelera la respuesta a incidentes y la evidencia de auditoría.
• Fija la versión de la cadena de herramientas de Go en las imágenes de CI que coincidan con go.mod. Los parches de seguridad se aplican en las versiones de parche de Go.
• Revisa las directivas replace y las bifurcaciones privadas como código de primera parte. Evita las comprobaciones normales de procedencia de módulos.
• Documenta las listas de excepciones permitidas para hallazgos de vulnerabilidades con propietarios y fechas de expiración. Previene exenciones "temporales" permanentes.

Preguntas frecuentes

Relacionado

• Seguridad para servicios Go: Valores por defecto y brechas - modelo conceptual de seguridad
• Conceptos básicos de seguridad en Go - fragmentos de código ejecutables para empezar
• Patrones de autenticación y autorización - patrones de middleware de autenticación
• Escaneo de dependencias con govulncheck y SBOM - detalle del escaneo en CI
• Configuración de crypto/tls y gestión de certificados - profundidad de TLS y mTLS

Versiones de Stack: Esta página fue escrita para Go 1.26.x (predeterminado GC de Green Tea, go fix modernizers - verifica el parche en la compilación), chi (última versión - verifica en la compilación), gin (última versión - verifica en la compilación), echo (última versión - verifica en la compilación), google.golang.org/grpc (última versión - verifica en la compilación), sigs.k8s.io/controller-runtime (última versión - verifica en la compilación), kubebuilder (última versión - verifica en la compilación), tinygo (última versión - verifica los objetivos de la placa en la compilación), wazero (última versión - verifica en la compilación) y golangci-lint (última versión - verifica en la compilación).