Web Applications

Introduction to Web Application Security

What Are Web Applications?

Las aplicaciones web son programas de software que se ejecutan en servidores web y son accesibles a través de Internet mediante navegadores web.

Están diseñadas para proporcionar una funcionalidad interactiva y dinámica a los usuarios, lo que les permite realizar diversas tareas, acceder a información e interactuar con datos en línea.

Las aplicaciones web se han convertido en una parte integral del uso moderno de Internet y potencian una amplia gama de servicios y actividades en línea.

Algunos ejemplos de aplicaciones web incluyen:

• Plataformas de redes sociales (p. ej., Facebook, Twitter)

• Servicios de correo electrónico en línea (p. ej., Gmail, Outlook)

• Sitios web de comercio electrónico (p. ej., Amazon, eBay)

• Herramientas de productividad basadas en la nube (p. ej., Google Workspace, Microsoft Office 365)

How Do Web Applications Work?

This Client-Server Architecture: las aplicaciones web siguen el modelo cliente-servidor, en el que la lógica y los datos de la aplicación se alojan en un servidor web y los usuarios acceden a ellos mediante navegadores web en sus dispositivos.

User Interface (Ul): la interfaz de usuario de las aplicaciones web suele presentarse mediante una combinación de HTML (lenguaje de marcado de hipertexto), CSS (hojas de estilo en cascada) y JavaScript para crear interfaces dinámicas e interactivas.

Internet Connectivity: las aplicaciones web requieren una conexión a Internet para que los usuarios puedan acceder a ellas. Los usuarios interactúan con la aplicación enviando solicitudes al servidor, que procesa esas solicitudes y envía las respuestas adecuadas.

Cross-Platform Compatibility: las aplicaciones web son accesibles desde diferentes dispositivos y sistemas operativos sin necesidad de instalación o software específico, lo que las hace independientes de la plataforma.

Statelessness: HTTP, el protocolo utilizado para la comunicación entre navegadores web y servidores, no tiene estado. Las aplicaciones web deben gestionar las sesiones y el estado de los usuarios para recordar las interacciones de los usuarios y garantizar la continuidad.

Web Application Security

La seguridad de las aplicaciones web es un aspecto fundamental de la ciberseguridad que se centra en proteger las aplicaciones web de diversas amenazas y vulnerabilidades de seguridad, así como de ataques.

El objetivo principal de la seguridad de las aplicaciones web es garantizar la confidencialidad, integridad y disponibilidad de los datos procesados ​​por las aplicaciones web, mitigando al mismo tiempo el riesgo de acceso no autorizado, violaciones de datos e interrupciones del servicio.

Las aplicaciones web son objetivos atractivos para los atacantes debido a su accesibilidad pública y al potencial de obtener acceso a datos confidenciales, como información personal, datos financieros o propiedad intelectual.

The Importance Of Web App Security

La seguridad de las aplicaciones web es de suma importancia en el panorama digital actual debido a la creciente dependencia de las aplicaciones web para diversos fines.

A continuación, se indican algunas de las razones principales por las que la seguridad de las aplicaciones web es crucial:

• Protection of Sensitive Data: las aplicaciones web suelen manejar datos confidenciales de los usuarios, como información personal, detalles financieros y credenciales de inicio de sesión. Una violación de la seguridad en una aplicación web puede provocar un acceso no autorizado y la exposición de estos datos confidenciales, lo que genera graves problemas de privacidad y cumplimiento.

• Safeguarding User Trust: los usuarios esperan que las aplicaciones web con las que interactúan sean seguras y protejan su información. Un incidente de seguridad puede erosionar la confianza de los usuarios, lo que da como resultado la pérdida de clientes, daños a la reputación y publicidad negativa.

Prevention of Financial Loss: los ataques a aplicaciones web pueden generar pérdidas financieras tanto para las organizaciones como para las personas. Para las empresas, las infracciones pueden dar lugar a robos financieros, robos de propiedad intelectual e incluso sanciones legales.

Compliance and Regulatory Requirements: muchas industrias tienen requisitos normativos y de cumplimiento estrictos, como GDPR, HIPAA y PCl DSS, que exigen la implementación de medidas de seguridad sólidas para las aplicaciones web.

Mitigation of Cyber Threats: el panorama de amenazas evoluciona constantemente y surgen nuevas técnicas de ataque con regularidad. Garantizar una seguridad sólida de las aplicaciones web ayuda a mitigar el riesgo de ser víctima de diversas amenazas cibernéticas, como piratería, violaciones de datos y ransomware.

Protection Against DDoS Attacks: las aplicaciones web suelen ser el objetivo de ataques de denegación de servicio distribuido (DDoS), cuyo objetivo es saturar la infraestructura de la aplicación y hacer que no esté disponible para los usuarios legítimos.

Maintaining Business Continuity: las aplicaciones web son fundamentales para las operaciones empresariales y cualquier interrupción de su disponibilidad puede provocar tiempos de inactividad y pérdida de productividad. Las medidas de seguridad sólidas ayudan a mantener la continuidad empresarial y a evitar interrupciones costosas.

Preventing Defacement and Data Manipulation: las vulnerabilidades de las aplicaciones web se pueden explotar para desfigurar páginas web, alterar el contenido o inyectar código malicioso, lo que daña la marca y la credibilidad de la organización.

Authentication and Authorization Implementar mecanismos de autenticación robustos para verificar la identidad de los usuarios y controles de autorización para otorgar privilegios de acceso adecuados según los roles de los usuarios.

Input Validation: Garantizar que todos los datos ingresados ​​por los usuarios estén validados para evitar ataques comunes como inyección SQL y secuencias de comandos entre sitios (XSS).

Secure Communication: Utilizar protocolos de cifrado como HTTPS (TLS/SSL) para proteger la comunicación entre el navegador del usuario y el servidor web, protegiendo así los datos confidenciales en tránsito.

Secure Coding Practices: Adherirse a estándares y prácticas de codificación segura para minimizar la introducción de vulnerabilidades durante la fase de desarrollo.

Regular Security Updates: mantener la aplicación web y sus bibliotecas de software subyacentes actualizadas con los últimos parches y actualizaciones de seguridad.

Least Privilege Principle: asignar los privilegios mínimos necesarios a los usuarios, procesos y sistemas para reducir el impacto potencial de una vulneración de seguridad.

Web Application Firewalls (WAF): implementar un WAF para filtrar y monitorear las solicitudes HTTP, bloquear el tráfico malicioso y proteger contra patrones de ataque conocidos.

Session Management: implementar un manejo seguro de sesiones para evitar el secuestro de sesiones y garantizar que la identidad del usuario se mantenga segura durante toda la sesión.

Quiz: Introduction to Web Application Security

Web Application Security Testing

Las pruebas de seguridad de aplicaciones web son el proceso de evaluar y valorar los aspectos de seguridad de las aplicaciones web para identificar vulnerabilidades, debilidades y posibles riesgos de seguridad.

Implica la realización de diversas pruebas y evaluaciones para garantizar que las aplicaciones web sean resistentes a las amenazas de seguridad y puedan proteger eficazmente los datos y las funcionalidades confidenciales del acceso no autorizado o de actividades maliciosas.

El objetivo principal de las pruebas de seguridad de aplicaciones web es descubrir fallas de seguridad antes de que los atacantes las exploten.

Al identificar y abordar las vulnerabilidades, las organizaciones pueden mejorar la postura de seguridad general de sus aplicaciones web, reducir el riesgo de violaciones de datos y acceso no autorizado, y proteger a sus usuarios y la información confidencial.

Las pruebas de seguridad de aplicaciones web suelen implicar una combinación de herramientas de escaneo automático y técnicas de prueba manual.

Algunos tipos comunes de pruebas de seguridad que se realizan en aplicaciones web incluyen:

1. Vulnerability Scanning: uso de herramientas automatizadas para escanear la aplicación web en busca de vulnerabilidades conocidas, como inyección SQL, secuencias de comandos entre sitios (XSS), configuraciones inseguras y versiones de software obsoletas.

2. Penetration Testing: simulación de ataques reales para evaluar las defensas de la aplicación e identificar posibles debilidades de seguridad. Esto implica piratería ética para obtener información sobre cómo un atacante podría explotar las vulnerabilidades.

3. Code Review and Static Analysis: examen manual del código fuente de la aplicación para identificar fallas de codificación, configuraciones de seguridad incorrectas y posibles riesgos de seguridad.

Web Application Security Testing Types

Authentication and Authorization Testing: evaluación de la eficacia de los mecanismos de autenticación y las funciones de control de acceso para garantizar que solo los usuarios autorizados tengan los niveles de acceso adecuados.

Input Validation and Output Encoding Testing: evaluación de cómo la aplicación maneja las entradas del usuario para evitar vulnerabilidades de seguridad comunes como XSS e inyección SQL.

Session Management Testing: verificación de cómo la aplicación administra las sesiones de usuario y los tokens relacionados para evitar ataques relacionados con las sesiones.

API Security Testing: evaluación de la seguridad de las API (interfaces de programación de aplicaciones) utilizadas por la aplicación web para el intercambio de datos y la integración con otros sistemas.

El pentesting de aplicaciones web es un subconjunto de las pruebas de seguridad de aplicaciones web que implica específicamente intentar explotar vulnerabilidades identificadas.

Es un ataque simulado a la aplicación web realizado por profesionales de seguridad capacitados conocidos como pentesters, cazadores de errores o hackers éticos.

El proceso implica un enfoque sistemático y controlado para evaluar la seguridad de la aplicación intentando explotar vulnerabilidades conocidas.

Web App Pentesting vs Web App Security Testing

Diferencias clave entre las pruebas de seguridad de aplicaciones web y las pruebas de penetración de aplicaciones web:

1. Scope: Las pruebas de Web application security cubren una gama más amplia de evaluaciones, incluidos el análisis estático y dinámico, mientras que las pruebas de web application pentesting se centran en la explotación activa de vulnerabilidades.

2. Objective: el objetivo principal de las pruebas de seguridad es identificar debilidades, mientras que las pruebas de penetración apuntan a validar vulnerabilidades y evaluar la capacidad de la organización para detectar y responder a ataques.

3. Methodology: las pruebas de seguridad incluyen técnicas tanto manuales como automatizadas, mientras que las pruebas de penetración son predominantemente un proceso manual, que implica el uso de varias herramientas y técnicas para la explotación.

4. Exploitation: las pruebas de seguridad no implican la explotación de vulnerabilidades, mientras que las pruebas de penetración sí, aunque de manera controlada y autorizada.

Aspect	Web App Security Testing	Web App Pentesting
Objective	Identifica vulnerabilidades y debilidades en la aplicación web sin explotarlas activamente.	Intentar activamente explotar las vulnerabilidades identificadas y evaluar la respuesta de la organización a los ataques.
Focus	Más amplio en alcance, incluye técnicas de prueba tanto manuales como automatizadas.	Específico para identificar vulnerabilidades y explotarlas, principalmente un proceso manual.
Methodology	Varios tipos de evaluaciones, como SAST, DAST, IAST, SCA, etc.	Pruebas manuales que utilizan herramientas y técnicas para simular ataques del mundo real.
Exploitation	No implica la explotación de vulnerabilidades.	Implica una explotación controlada para validar vulnerabilidades.
Impact	No intrusivo; se centra principalmente en la identificación de problemas.	Puede ser intrusivo y provocar interrupciones en la aplicación durante las pruebas.
Reporting	Identifica vulnerabilidades y proporciona recomendaciones de solución.	Documenta las vulnerabilidades exitosas, identifica debilidades y recomienda medidas de remediación.
Testing Approach	Puede incluir automatización para el escaneo de vulnerabilidades.	Principalmente manual, utilizando técnicas y herramientas de prueba manuales.
Goal	Mejora de la postura de seguridad general de la aplicación web.	Valida la eficacia de los controles de seguridad existentes y las capacidades de respuesta a incidentes.

Quiz: Web Application Security Testing

Common Web Application Threats & Risks

Dada la creciente adopción de aplicaciones web, no es de extrañar que las aplicaciones web estén constantemente expuestas a diversas amenazas y riesgos de seguridad debido a su amplia accesibilidad y los valiosos datos que procesan.

Comprender estas amenazas de seguridad comunes es fundamental para que los desarrolladores, los profesionales de seguridad y las organizaciones implementen medidas efectivas y protejan sus aplicaciones web.

El impacto y la gravedad reales de cada amenaza pueden variar según la aplicación web específica y sus medidas de seguridad.

La seguridad de las aplicaciones web requiere un enfoque proactivo e integral para mitigar estas amenazas y proteger los datos confidenciales y las interacciones de los usuarios de manera eficaz.

Threat vs Risk

Threat:

• Una amenaza se refiere a cualquier fuente potencial de daño o evento adverso que pueda explotar una vulnerabilidad en las medidas de seguridad de un sistema o una organización.

• Las amenazas pueden ser provocadas por el hombre, como ciberdelincuentes, piratas informáticos o personas con malas intenciones, o pueden ser naturales, como inundaciones, terremotos o cortes de energía.

• En el contexto de la ciberseguridad, las amenazas pueden incluir varios tipos de ataques, como infecciones de malware, intentos de phishing, ataques de denegación de servicio y violaciones de datos.

Risk:

• El riesgo es la posibilidad de que se produzca una pérdida o un daño como resultado de una amenaza que explota una vulnerabilidad en un sistema u organización.

• Es una combinación de la probabilidad de que se produzca una amenaza y el impacto o la gravedad del evento adverso resultante.

• El riesgo suele medirse en términos de la probabilidad de que ocurra un incidente y la magnitud potencial de su impacto.

En resumen, una amenaza es un peligro potencial o un evento dañino, mientras que el riesgo es la probabilidad y el impacto potencial de que ese evento ocurra.

Las amenazas pueden existir, pero pueden suponer o no un riesgo significativo según las vulnerabilidades y las medidas de seguridad implementadas para mitigarlas.

Threat/Risk	Description
Cross-Site Scripting (XSS)	Los atacantes inyectan secuencias de comandos maliciosas en páginas web vistas por otros usuarios, lo que genera acceso no autorizado a los datos del usuario, secuestro de sesiones y manipulación del navegador.
SQL Injection (SQLi)	Los atacantes manipulan la entrada del usuario para inyectar código SQL malicioso en la base de datos de la aplicación, lo que genera acceso no autorizado a los datos, manipulación de datos o compromiso de la base de datos.
Cross-Site Request Forgery (CSRF)	Los atacantes engañan a los usuarios autenticados para que realicen acciones sin saberlo en una aplicación web, como cambiar los detalles de la cuenta, explotando sus sesiones activas.
Security Misconfigurations	Los servidores, bases de datos o marcos de aplicaciones configurados incorrectamente pueden exponer datos confidenciales o proporcionar puntos de entrada para los atacantes.
Sensitive Data Exposure	La falta de protección adecuada de los datos confidenciales, como contraseñas o información personal, puede provocar violaciones de datos y robo de identidad.
Brute-Force and Credential Stuffing Attacks	Los atacantes utilizan herramientas automatizadas para adivinar nombres de usuario y contraseñas, en un intento de obtener acceso no autorizado a las cuentas de usuario.
File Upload Vulnerabilities	Los mecanismos de carga de archivos inseguros pueden permitir a los atacantes cargar archivos maliciosos, lo que genera la ejecución remota de código o el acceso no autorizado al servidor.
Denial-of-Service (DoS) and Distributed Denial-of-Service (DDoS)	Los ataques DoS y DDoS tienen como objetivo saturar los servidores de aplicaciones web, lo que provoca interrupciones del servicio y niega el acceso a los usuarios legítimos.
Server-Side Request Forgery (SSRF)	Los atacantes utilizan SSRF para realizar solicitudes desde el servidor a recursos internos o redes externas, lo que puede provocar el robo de datos o el acceso no autorizado.
Inadequate Access Controls	Los controles de acceso débiles pueden permitir que usuarios no autorizados accedan a funcionalidades restringidas o datos confidenciales.
Using Components with Known Vulnerabilities	La integración de componentes de terceros con fallas de seguridad conocidas puede introducir debilidades en la aplicación web.
Broken Access Control	Los controles de acceso inadecuados pueden permitir que usuarios no autorizados accedan a funcionalidades restringidas o datos confidenciales.

Estas amenazas de seguridad son solo algunos de los muchos riesgos que enfrentan las aplicaciones web.

Para abordar estos desafíos, las organizaciones deben adoptar un enfoque de seguridad de múltiples capas, que incluya prácticas de codificación segura, pruebas de seguridad periódicas, educación de los usuarios sobre las mejores prácticas de seguridad y el monitoreo y la actualización continuos de los componentes y la infraestructura de las aplicaciones web.

Ser proactivo y mantenerse informado sobre las amenazas emergentes es crucial para mantener la seguridad y la integridad de las aplicaciones web en un panorama de amenazas en constante evolución.

Desde la perspectiva de un evaluador de penetración de aplicaciones web, es importante comprender bien las amenazas principales y comunes a las que se enfrentan las aplicaciones web.

Quiz: Common Web Application Threats & Risks

Web Application Architecture & Components

Web Application Architecture

La arquitectura de aplicaciones web se refiere a la estructura y organización de los componentes y tecnologías que se utilizan para crear una aplicación web.

Define cómo interactúan entre sí las distintas partes de la aplicación para ofrecer su funcionalidad, gestionar las solicitudes de los usuarios y administrar los datos.

Una arquitectura de aplicaciones web bien diseñada es fundamental para garantizar la escalabilidad, la capacidad de mantenimiento y la seguridad.

Antes de realizar una evaluación de seguridad de una aplicación web, es de vital importancia saber cómo funcionan las aplicaciones web en relación con la arquitectura subyacente. Este conocimiento le permitirá comprender mucho mejor dónde y cómo identificar y explotar posibles vulnerabilidades o configuraciones incorrectas en las aplicaciones web.

Client-Server Model

Las aplicaciones web suelen construirse según el modelo cliente-servidor. En esta arquitectura, la aplicación web se divide en dos componentes principales:

• Client: el cliente representa la interfaz de usuario y la interacción del usuario con la aplicación web. Es el front-end de la aplicación al que los usuarios acceden a través de sus navegadores web. El cliente es responsable de mostrar las páginas web, gestionar la entrada del usuario y enviar solicitudes al servidor para obtener datos o acciones.

• Server: el servidor representa el back-end de la aplicación web. Procesa las solicitudes del cliente, ejecuta la lógica empresarial de la aplicación, se comunica con bases de datos y otros servicios, y genera respuestas para enviarlas de vuelta al cliente.

Web Application Components

Component	Function
User Interface (Ul)	La interfaz de usuario es la presentación visual de la aplicación web que los usuarios ven y con la que interactúan. Incluye elementos como páginas web, formularios, menús, botones y otros componentes interactivos.
Client-Side Technologies	Las tecnologías del lado del cliente, como HTML (lenguaje de marcado de hipertexto), CSS (hojas de estilo en cascada) y JavaScript, se utilizan para crear la interfaz de usuario y gestionar las interacciones directamente en el navegador web del usuario.
Server-Side Technologies	Las tecnologías del lado del servidor, como los lenguajes de programación (p. ej., PHP, Python, Java, Ruby) y los marcos, se utilizan para implementar la lógica empresarial de la aplicación, procesar solicitudes de los clientes, acceder a bases de datos y generar contenido dinámico para enviarlo de vuelta al cliente.
Databases	Las bases de datos se utilizan para almacenar y administrar los datos de la aplicación web. Almacenan información del usuario, contenido, configuraciones y otros datos relevantes necesarios para el funcionamiento de la aplicación.
Application Logic	La lógica de la aplicación representa las reglas y los procedimientos que rigen el funcionamiento de la aplicación web. Incluye la autenticación del usuario, la validación de datos, los controles de seguridad y otras reglas empresariales.
Web Ser	Los servidores web gestionan la solicitud inicial de los clientes y ofrecen los componentes del lado del cliente, como archivos estáticos (HTML, CSS, JavaScript), a los usuarios.
Application Servers	Los servidores de aplicaciones ejecutan el código del lado del servidor y gestionan el procesamiento dinámico de las solicitudes de los clientes. Se comunican con las bases de datos, ejecutan la lógica empresarial y generan contenido dinámico.

Client-side Processing

El procesamiento del lado del cliente implica ejecutar tareas y cálculos en el dispositivo del usuario, generalmente dentro de su navegador web.

El lado del cliente se refiere al extremo del usuario de la aplicación web, donde residen el navegador web y la interfaz de usuario.

El procesamiento del lado del cliente tiene algunas limitaciones. No es adecuado para manejar operaciones sensibles o críticas, ya que puede ser manipulado fácilmente por usuarios o actores maliciosos.

Características clave del procesamiento del lado del cliente:

User Interaction: el procesamiento del lado del cliente es ideal para tareas que requieren interacción y retroalimentación inmediatas del usuario, ya que no es necesario enviar datos de ida y vuelta al servidor.

Responsive User Experience: dado que el procesamiento se realiza de forma local, las operaciones del lado del cliente pueden proporcionar una experiencia de usuario más fluida y con mayor capacidad de respuesta.

JavaScript: JavaScript es el principal lenguaje de programación utilizado para el procesamiento del lado del cliente. Permite a los desarrolladores manipular el contenido de la página web, gestionar las interacciones del usuario y realizar validaciones sin involucrar al servidor.

Data Validation: la validación del lado del cliente garantiza que la entrada del usuario cumpla con criterios específicos antes de enviarse al servidor, lo que reduce la necesidad de realizar solicitudes innecesarias al servidor.

Server-side Processing

El procesamiento del lado del servidor implica ejecutar tareas y cálculos en el servidor web, que es la computadora remota donde se aloja la aplicación web.

El lado del servidor se refiere al backend de la aplicación web, donde se lleva a cabo la lógica empresarial y el procesamiento de datos.

Características clave del procesamiento del lado del servidor:

Data Processing: el procesamiento del lado del servidor es ideal para tareas que implican el manejo de datos confidenciales, cálculos complejos e interacciones con bases de datos o servicios externos.

Security: dado que el código del lado del servidor se ejecuta en un servidor confiable, es más seguro que el código del lado del cliente, que puede ser manipulado por los usuarios o interceptado por atacantes.

Server-side Languages: los lenguajes de programación como PHP, Python, Java, Ruby y otros se utilizan comúnmente para el procesamiento del lado del servidor.

Data Storage: el procesamiento del lado del servidor permite el almacenamiento y la gestión seguros de datos confidenciales en bases de datos u otros sistemas de almacenamiento.

Communication & Data Flow

Las aplicaciones web se comunican a través de Internet mediante HTTP (Protocolo de transferencia de hipertexto).

Cuando un usuario interactúa con la aplicación web haciendo clic en enlaces o enviando formularios, el cliente envía solicitudes HTTP al servidor.

El servidor procesa estas solicitudes, interactúa con la base de datos si es necesario, realiza las acciones necesarias y genera una respuesta HTTP.

La respuesta se envía de vuelta al cliente, que procesa el contenido y lo presenta al usuario.

Quiz: Web Application Architecture

Web Application Technologies - Part 1

Comprender las tecnologías web es fundamental para cualquier persona involucrada en el desarrollo web, la seguridad de aplicaciones web o las pruebas de seguridad de aplicaciones web/pruebas de penetración de aplicaciones web.

Como evaluador de penetración de aplicaciones web, interactuará, evaluará y explotará con frecuencia las tecnologías subyacentes que conforman una aplicación web en su totalidad.

Como resultado, debe tener una comprensión fundamental de qué tecnologías del lado del servidor y del lado del cliente conforman una aplicación web y cuáles son sus funcionalidades y cuándo y por qué se implementan.

Client-Side Technologies

HTML (Hypertext Markup Language): HTML es el lenguaje de marcado que se utiliza para estructurar y definir el contenido de las páginas web. Proporciona la base para crear el diseño y la estructura de la interfaz de usuario.

CSS (Cascading Style Sheets): CSS se utiliza para definir la presentación y el estilo de las páginas web. Permite a los desarrolladores controlar los colores, las fuentes, el diseño y otros aspectos visuales de la interfaz de usuario.

JavaScript: JavaScript es un lenguaje de programación que permite la interactividad en las aplicaciones web. Se utiliza para crear elementos de interfaz de usuario dinámicos y responsivos, gestionar las interacciones del usuario y realizar validaciones del lado del cliente.

Cookies and Local Storage: las cookies y el almacenamiento local son mecanismos del lado del cliente para almacenar pequeñas cantidades de datos en el navegador del usuario. A menudo se utilizan para la gestión de sesiones y para recordar las preferencias del usuario.

Web Server: el servidor web es responsable de recibir y responder a las solicitudes HTTP de los clientes (navegadores web). Aloja los archivos de la aplicación web, procesa las solicitudes y envía respuestas a los clientes. (Apache2, Nginx, Microsoft IIS, etc.)

Application Server: el servidor de aplicaciones ejecuta la lógica empresarial de la aplicación web. Procesa las solicitudes de los usuarios, accede a las bases de datos y realiza cálculos para generar contenido dinámico que el servidor web puede ofrecer a los clientes.

Database Server: el servidor de bases de datos almacena y administra los datos de la aplicación web. Almacena información del usuario, contenido, configuraciones y otros datos relevantes necesarios para el funcionamiento de la aplicación. (MySQL, PostgreSQL, MSSQL, Oracle, etc.)

Server-side Scripting Languages: los lenguajes de programación del lado del servidor (por ejemplo, PHP, Python, Java, Ruby) se utilizan para gestionar el procesamiento del lado del servidor. Interactúan con bases de datos, realizan validaciones y generan contenido dinámico antes de enviarlo al cliente.

Communication & Data Flow

Las aplicaciones web se comunican a través de Internet mediante HTTP (Hypertext Transfer Protocol).

Cuando un usuario interactúa con la aplicación web haciendo clic en enlaces o enviando formularios, el cliente envía solicitudes HTTP al servidor.

El servidor procesa estas solicitudes, interactúa con la base de datos si es necesario, realiza las acciones necesarias y genera una respuesta HTTP.

La respuesta se envía de vuelta al cliente, que procesa el contenido y lo presenta al usuario.

Data Interchange

El intercambio de datos se refiere al proceso de intercambio de datos entre diferentes sistemas informáticos o aplicaciones, lo que les permite comunicarse y compartir información.

Es un aspecto fundamental de la informática moderna, que permite la interoperabilidad y el intercambio de datos entre diversos sistemas, plataformas y tecnologías.

El intercambio de datos implica la conversión de datos de un formato a otro, haciéndolos compatibles con el sistema receptor.

Esto garantiza que los datos puedan ser interpretados y utilizados correctamente por el receptor, independientemente de las diferencias en sus estructuras de datos, lenguajes de programación o sistemas operativos.

Data Interchange Technologies

API (Application Programming Interfaces): las API permiten que distintos sistemas de software interactúen e intercambien datos. Las aplicaciones web utilizan API para integrarse con servicios externos, compartir datos y proporcionar funcionalidades a otras aplicaciones.

Data Interchange Protocols

JSON (JavaScript Object Notation): JSON es un formato de intercambio de datos liviano y ampliamente utilizado que es fácil de leer y escribir tanto para humanos como para máquinas. Se basa en la sintaxis de JavaScript y se utiliza principalmente para transmitir datos entre un servidor y una aplicación web como alternativa a XML.

XML (eXtensible Markup Language): XML es un formato de intercambio de datos versátil que utiliza etiquetas para definir la estructura de los datos. Permite a los usuarios crear sus etiquetas personalizadas y definir estructuras de datos jerárquicas complejas. XML se utiliza comúnmente para archivos de configuración, servicios web e intercambio de datos entre diferentes sistemas.

Data Interchange Protocols

REST (Representational State Transfer): REST es un estilo arquitectónico de software que utiliza métodos HTTP estándar (GET, POST, PUT, DELETE) para el intercambio de datos. Se utiliza ampliamente para crear API web que permiten que las aplicaciones interactúen e intercambien datos a través de Internet.

SOAP (Simple Object Access Protocol): SOAP es un protocolo para intercambiar información estructurada en la implementación de servicios web. Utiliza XML como formato de intercambio de datos y proporciona un método estandarizado para la comunicación entre diferentes sistemas.

Security Technologies

Mecanismos de autenticación y autorización: la autenticación verifica la identidad de los usuarios, mientras que la autorización controla el acceso a diferentes partes de la aplicación web en función de los roles y permisos de los usuarios.

Cifrado (SSL/TLS): SSL (Secure Socket Layer) o TLS (Transport Layer Security) se utiliza para cifrar los datos transmitidos entre el cliente y el servidor, lo que garantiza una comunicación segura y la protección de los datos.

External Technologies

Content Delivery Networks (CDNs) - Las CDNs se utilizan para distribuir contenido estático (por ejemplo, imágenes, archivos CSS, bibliotecas JavaScript) a múltiples servidores ubicados en todo el mundo, mejorando el rendimiento y la fiabilidad de la aplicación web.

Third-Party Libraries and Frameworks - Las aplicaciones web a menudo utilizan bibliotecas y frameworks de terceros para acelerar el desarrollo y acceder a funciones avanzadas.

Web Application Architecture

How Web Pages Are Rendered

How Web Browsers Parse Responses

Quiz: Web Application Technologies