Tu desarrollador no es tu equipo de seguridad

Hay una conversación que tenemos casi cada semana. Un dueño de negocio nos dice: "Mi desarrollador se encarga de la seguridad." Entonces hacemos una pregunta simple: "¿Cuándo fue la última vez que atacó tu propia web?"

El silencio que sigue es exactamente el punto.

Construir y romper son mentalidades distintas

El trabajo de un desarrollador es hacer que las cosas funcionen. Cada decisión gira en torno a funcionalidades, plazos y mantener el negocio operativo. El trabajo de seguridad es la mentalidad opuesta: asumes que todo funciona — y luego cazas la única combinación de circunstancias en la que no.

Son habilidades distintas, herramientas distintas y, francamente, personalidades distintas. Pedirle a tu desarrollador que también sea tu equipo de seguridad es como pedirle a tu arquitecto que también inspeccione el edificio buscando puntos de entrada para ladrones. Sabe dónde están las puertas — las instaló él. Es exactamente por eso que deja de verlas.

Los puntos ciegos que encontramos en webs hechas por profesionales

Plugins instalados para una función que se usó una vez y se olvidó. Cuentas de administrador creadas para un freelance que se fue hace ocho meses. Mensajes de error que revelan silenciosamente la versión del software de tu servidor a cualquiera que pregunte. Formularios de contacto que pueden usarse para enviar spam desde tu dominio.

Ninguno de estos es un error que un desarrollador notaría — porque ninguno rompe nada.

El arreglo saludable

Quédate con tu desarrollador para construir. Deja que un equipo de seguridad se encargue de romper. Los dos roles deberían encontrarse exactamente una vez: cuando entregamos una lista en lenguaje claro de lo que hay que arreglar, y ellos lo arreglan. O, si lo prefieres, lo arreglamos nosotros y tu desarrollador nunca tiene que cambiar de contexto.

Tu negocio sigue funcionando. Las puertas se cierran. Cada uno hace el trabajo para el que es realmente bueno.