HTTP y seguridad

Qué debes entender

HTTP es un protocolo request/response. Los métodos expresan intención y los códigos comunican resultado.

Cómo funciona

GET debería ser seguro; PUT idempotente; POST no necesariamente. La semántica importa para caché, retries y observabilidad.

Ejemplo

GET /users/42
200 OK
Content-Type: application/json

Repasar

Qué debes entender

CORS es una política del navegador que controla lectura de respuestas cross-origin. No es autenticación ni protege APIs frente a clientes no navegador.

Cómo funciona

Requests no simples pueden disparar OPTIONS preflight. El servidor debe autorizar origen, métodos, headers y credenciales.

Ejemplo

Access-Control-Allow-Origin: https://app.example.com
Access-Control-Allow-Credentials: true

Repasar

Qué debes entender

Cookies pueden viajar en HTTP; localStorage persiste por origen; sessionStorage vive por pestaña/sesión de navegación.

Cómo funciona

Web Storage es síncrono y accesible a JS. Cookies HttpOnly no son accesibles a JS y SameSite reduce ciertos ataques CSRF.

Ejemplo

sessionStorage.setItem("cool_secret", "123");

Repasar

Qué debes entender

La caché HTTP reutiliza respuestas. Cache-Control define frescura, revalidación y almacenamiento público o privado.

Cómo funciona

ETag permite validación condicional. Assets versionados pueden usar max-age largo + immutable; HTML suele requerir revalidación.

Ejemplo

Cache-Control: public, max-age=31536000, immutable

Repasar

Qué debes entender

XSS ejecuta código no confiable en el origen; CSRF induce una acción autenticada; CSP limita fuentes de contenido como defensa en profundidad.

Cómo funciona

Escapar según contexto es esencial. Tokens anti-CSRF y SameSite protegen requests con cookies. CSP no sustituye sanitización.

Ejemplo

Content-Security-Policy: default-src 'self'; script-src 'self'

Repasar

Qué debes entender

JWT es un formato de token; OAuth es un protocolo de autorización; una sesión es una estrategia de mantener identidad. No son equivalentes.

Cómo funciona

Un JWT firmado no está cifrado por defecto. OAuth con OIDC cubre autenticación federada. Rotación, expiración y revocación siguen siendo decisiones del sistema.

Ejemplo

Authorization: Bearer <access-token>

Repasar