ESTÁNDAR AVANZADO DE CIBERSEGURIDAD Y HARDENING

OBJETIVO

Implementar capas de defensa en profundidad para proteger la infraestructura, mitigar vectores de ataque avanzados (XSS, Clickjacking, Supply Chain Attacks, Man-in-the-Middle) y garantizar la postura de seguridad de la organización.

REGLAS INQUEBRANTABLES

[REQUIRED] SEC-001: Content Security Policy (CSP) Estricta en todas las respuestas HTTP.

Por qué: una CSP estricta es la red que atrapa un XSS que ya pasó todas las demás defensas (S-001 a S-003): aunque un script malicioso logre inyectarse, el navegador se niega a ejecutarlo si su origen no está en la lista permitida.

[REQUIRED] SEC-002: Subresource Integrity (SRI) obligatorio para cualquier script o asset cargado de CDN externo.

Por qué: un script cargado de un CDN externo se ejecuta con la misma confianza que tu propio código; si el CDN se compromete, el script modificado también. SRI verifica el hash antes de ejecutar, así que un script alterado se rechaza en vez de correr.

[RECOMMENDED] SEC-003: Publicar el archivo /.well-known/security.txt para divulgación responsable de vulnerabilidades.

Por qué: sin un canal declarado, un investigador que encuentra una vulnerabilidad no tiene forma clara de reportarla de manera responsable y puede optar por publicarla directamente. Es recomendado porque es una práctica de buena higiene sin la cual el producto sigue funcionando, no una defensa técnica.

1. CONTENT SECURITY POLICY (CSP) ESTRUCTURADA EN WORKERS

typescript

// Middleware de cabeceras de seguridad en Cloudflare Worker
export function applySecurityHeaders(headers: Headers): Headers {
  const cspDirectives = [
    "default-src 'self'",
    "script-src 'self' https://js.stripe.com",
    // ⚠️ EXCEPCIÓN DOCUMENTADA a SEC-001: `'unsafe-inline'` en style-src (NUNCA en script-src).
    // Motivo: librerías de UI y Tailwind inyectan estilos inline en runtime; sin esto se rompen.
    // Riesgo aceptado: habilita CSS-based UI-redressing, NO ejecución de JS.
    // Vía de eliminación cuando el proyecto lo permita: nonce por request o hashes de estilo.
    "style-src 'self' 'unsafe-inline' https://fonts.googleapis.com",
    "font-src 'self' https://fonts.gstatic.com",
    "img-src 'self' data: https://assets.collabscribe.com https://*.stripe.com",
    "connect-src 'self' https://api.stripe.com https://*.supabase.co wss://*.supabase.co",
    "frame-ancestors 'none'", // Previene Clickjacking
    "block-all-mixed-content",
    "upgrade-insecure-requests"
  ]

  headers.set('Content-Security-Policy', cspDirectives.join('; '))
  headers.set('X-Frame-Options', 'DENY')
  headers.set('X-Content-Type-Options', 'nosniff')
  headers.set('Referrer-Policy', 'strict-origin-when-cross-origin')
  headers.set('Permissions-Policy', 'geolocation=(), camera=(), microphone=()')

  return headers
}

2. ARCHIVO ESTÁNDAR `/.well-known/security.txt`

text

Contact: mailto:security@collabscribe.com
Expires: 2027-12-31T23:59:59.000Z
Preferred-Languages: es, en
Canonical: https://collabscribe.com/.well-known/security.txt
Policy: https://collabscribe.com/security

CHECKLIST DE SEGURIDAD AVANZADA

[ ] Cabeceras CSP activas sin la directiva 'unsafe-eval'.
[ ] Atributos SRI integrity="sha384-..." en scripts de CDNs de terceros.
[ ] DNSSEC activado en el panel de Cloudflare DNS.
[ ] Escaneo de dependencias en CI con socket.dev / npm audit.
[ ] Archivo security.txt desplegado y accesible públicamente.

ESTÁNDAR AVANZADO DE CIBERSEGURIDAD Y HARDENING ​

OBJETIVO ​

REGLAS INQUEBRANTABLES ​

1. CONTENT SECURITY POLICY (CSP) ESTRUCTURADA EN WORKERS ​

2. ARCHIVO ESTÁNDAR /.well-known/security.txt ​