Auditoría de Seguridad y Licencias - CreaRack Pro

Documento de referencia obligatoria al instalar nuevas dependencias. Última auditoría: 06-02-2026 Versión auditada: v6.5.9

Resumen Ejecutivo

1. Configuración de Seguridad Django

1.1 Producción (config/settings/production.py)

1.2 Desarrollo (config/settings/base.py)

1.3 Middleware de Seguridad

MIDDLEWARE = [
    "django.middleware.security.SecurityMiddleware",      # ✅
    "django.middleware.csrf.CsrfViewMiddleware",          # ✅
    "django.middleware.clickjacking.XFrameOptionsMiddleware",  # ✅
]

2. Análisis de Vulnerabilidades (OWASP Top 10)

2.1 Injection (A03:2021)

Archivos revisados:

• No se encontró uso directo de cursor.execute() con strings sin parametrizar
• No se encontró uso de mark_safe que podría inyectar HTML

2.2 Cross-Site Scripting - XSS (A07:2021)

Análisis Detallado de innerHTML (100 usos)

Clasificación por riesgo:

Archivos con usos de innerHTML:

Mitigación Implementada (29-01-2026)

Función escapeHtml() añadida a static/js/base.js:

/**
 * Escapes HTML special characters to prevent XSS attacks.
 * @param {string} str - The string to escape
 * @returns {string} - HTML-escaped string
 */
function escapeHtml(str) {
    if (str === null || str === undefined) return '';
    const div = document.createElement('div');
    div.textContent = String(str);
    return div.innerHTML;
}
window.escapeHtml = escapeHtml;  // Disponible globalmente

Casos corregidos:

Casos de Riesgo Bajo (No requieren acción)

Los ~70 casos restantes son HTML estático/templates que:

• No incluyen variables interpoladas con datos externos
• Son estructuras de UI predefinidas (tablas, layouts)
• El esfuerzo de refactorización no justifica el beneficio nulo

Ejemplo de caso de riesgo bajo (NO requiere cambio):

// HTML completamente estático - seguro
resultsDiv.innerHTML = `
    <table class="results-table">
        <thead><tr><th>IP</th><th>Status</th></tr></thead>
        <tbody id="results-tbody"></tbody>
    </table>
`;

Recomendaciones Pendientes

Guía para Nuevos Desarrollos

OBLIGATORIO usar escapeHtml() cuando:

• Se inserta cualquier dato del servidor en innerHTML
• Se muestran mensajes de error
• Se muestran nombres de entidades (categorías, usuarios, etc.)

// ✅ CORRECTO - Dato dinámico escapado
div.innerHTML = `<span>${escapeHtml(userData.name)}</span>`;

// ❌ INCORRECTO - Dato dinámico sin escapar
div.innerHTML = `<span>${userData.name}</span>`;

// ✅ CORRECTO - HTML estático (no necesita escape)
div.innerHTML = '<table><tr><th>Header</th></tr></table>';

// Uso:
div.innerHTML = `<label>${escapeHtml(cat.name)}</label>`;

2.3 Broken Authentication (A07:2021)

2.4 Sensitive Data Exposure (A02:2021)

3. Licencias de Dependencias

3.1 Dependencias Python

3.2 Dependencias JavaScript

3.3 Resumen de Licencias

Conclusión: Todas las licencias son compatibles con uso comercial SaaS.

Nota sobre LGPL-3.0 (icmplib): Uso permitido como librería sin modificaciones. Si se modifica el código fuente de icmplib, los cambios deben publicarse bajo LGPL-3.0.

4. Datos Sensibles y Secretos

4.1 Archivos Protegidos

4.2 Variables de Entorno Requeridas

# Obligatorias en producción
DJANGO_SECRET_KEY=<clave-segura-256-bits>
POSTGRES_PASSWORD=<password-seguro>
DJANGO_ALLOWED_HOSTS=dominio.com
CSRF_TRUSTED_ORIGINS=https://dominio.com

# APIs externas
GEMINI_API_KEY=<api-key>

# Opcionales
EMAIL_HOST_PASSWORD=<smtp-password>
GITHUB_TOKEN=<token>

5. Checklist para Nuevas Dependencias

OBLIGATORIO: Antes de instalar cualquier nueva dependencia, verificar:

5.1 Seguridad

• ¿Tiene vulnerabilidades conocidas? (verificar en Snyk o Safety)
• ¿Última actualización < 1 año?
• ¿Tiene mantenimiento activo? (commits recientes)
• ¿Código fuente disponible y auditable?

5.2 Licencia

• ¿Licencia compatible con uso comercial?
• ¿Requiere atribución? (MIT, Apache: sí)
• ¿Licencia viral? (GPL: verificar implicaciones)
• Registrar en este documento (sección 3)

5.3 Licencias Compatibles (SaaS)

5.4 Registro Obligatorio

Al añadir una dependencia, actualizar:

1. requirements.txt o package.json
2. Este documento (sección 3)
3. core/licenses.py — Registro público visible en /licenses (listas PYTHON_DEPENDENCIES, FRONTEND_DEPENDENCIES o INFRASTRUCTURE_DEPENDENCIES)
4. CHANGELOG.md

6. Recomendaciones de Mejora

6.1 Estado de Implementación

6.2 Rate Limiting Implementado

Ubicación: core/middleware/rate_limit.py

Configuración (en settings/base.py y settings/production.py):

RATE_LIMIT_ENABLED = True  # False en desarrollo, True en producción
RATE_LIMIT_REQUESTS = 100  # Peticiones por ventana
RATE_LIMIT_WINDOW = 60     # Ventana en segundos

# Límites específicos por endpoint
RATE_LIMIT_ENDPOINTS = {
    '/api/auth/login': {'requests': 5, 'window': 60},       # 5/min
    '/api/auth/register': {'requests': 3, 'window': 60},    # 3/min
    '/api/blueprints/auto-plan': {'requests': 10, 'window': 60},  # AI
    '/admin/login/': {'requests': 5, 'window': 60},         # Admin
}

Headers de respuesta:

• X-RateLimit-Limit: Límite máximo
• X-RateLimit-Remaining: Peticiones restantes
• X-RateLimit-Reset: Timestamp de reset
• Retry-After: Segundos para reintentar (solo en 429)

6.3 Content Security Policy (CSP) Implementado

Ubicación: core/middleware/csp.py

Modos:

• Desarrollo: CSP_REPORT_ONLY = True (solo reporta, no bloquea)
• Producción: CSP_REPORT_ONLY = False (bloquea violaciones)

Directivas configuradas:

6.4 Pendientes para Futuro

7. Historial de Auditorías

8. Próxima Auditoría

• Fecha recomendada: Trimestral o al añadir dependencias críticas
• Triggers automáticos:
  • Nueva dependencia de red/auth
  • Actualización major de Django
  • Cambio en manejo de credenciales

Mantenido por: Equipo CreaRack + Claude Última actualización: 06-02-2026

Véase también

• [[crearack-tech—reports—security-audit-04-04-2026]] — auditoría de seguridad crearack.com
• [[crearack-tech—guides—security-guide]] — guía de seguridad
• [[crearack-tech—guides—secret-rotation-playbook]] — playbook de rotación de secretos
• [[crearack-tech—backend—passkeys-authentication]] — autenticación con passkeys
• [[workspace-tech—tecnico—security-audit-11-04-2026]] — auditoría seguridad workspace
• [[crearack-tech—reports—infrastructure-robustness-audit-04-04-2026]] — auditoría de robustez infra