SOLID
Principios para razonar sobre responsabilidades, contratos y dirección de dependencias.
Referencia rápida
Glosario
AppSec y Dev .NET y C#
Definiciones breves para compartir un lenguaje común entre producto, desarrollo, arquitectura, seguridad y operaciones.
LINQ
Operadores para expresar consultas sobre secuencias; su ejecución depende del proveedor.
Cancelación
Solicitud cooperativa para detener trabajo pendiente; no deshace cambios ya confirmados.
Inyección de dependencias
Provisión explícita de colaboradores a un componente mediante composición.
Transacción
Unidad de cambios que se confirma o revierte según las garantías del recurso.
EF Core
Herramienta de persistencia .NET que traduce consultas y administra cambios en entidades.
ProblemDetails
Formato consistente para describir errores en respuestas HTTP.
Clean Architecture
Organización con dependencias orientadas hacia las reglas del negocio.
Repository
Abstracción de acceso a entidades o agregados con un propósito definido.
Specification
Objeto que describe criterios reutilizables de selección o una regla evaluable.
DDD
Enfoque de diseño que utiliza lenguaje del negocio y límites explícitos del dominio.
CQRS
Separación de responsabilidades de lectura y escritura.
Result
Representación explícita de éxito y rechazos esperados de una operación.
CI/CD
Automatización de integración, verificación y entrega de cambios.
Autenticación
Verificación de una identidad declarada mediante un mecanismo confiable.
Autorización
Decisión que permite o deniega una acción sobre un recurso en un contexto determinado.
Principal
Representación de la identidad que actúa dentro de la aplicación.
Claim
Afirmación sobre una identidad o contexto; debe validarse su origen antes de utilizarla.
Workload identity
Identidad independiente asignada a un proceso o servicio para limitar y atribuir sus acciones.
OAuth 2.0
Marco para delegar acceso a recursos mediante permisos y tokens.
OpenID Connect
Capa de autenticación sobre OAuth 2.0 que comunica al cliente información de la identidad autenticada.
JWT
Formato de token con claims. Una firma no cifra su contenido y decodificarlo no lo valida.
PKCE
Mecanismo que vincula el canje de un código de autorización a un secreto efímero del cliente.
Sesión
Contexto de continuidad entre solicitudes, con vigencia, renovación y cierre definidos.
RBAC
Control de acceso que agrupa permisos mediante roles.
ABAC
Control de acceso que evalúa atributos del sujeto, recurso y contexto.
BOLA
Falla de autorización a nivel de objeto que permite actuar sobre recursos sin el permiso correspondiente.
Tenant
Ámbito lógico de aislamiento de datos y permisos; en el caso ficticio corresponde a un grupo.
API
Interfaz que define operaciones y contratos para la comunicación entre componentes.
DTO
Representación explícita de datos de entrada o salida, separada de la entidad interna.
Concurrencia
Ejecución solapada de operaciones que puede exigir transacciones o control de versiones.
Callback
Llamada de retorno con la que un componente comunica un resultado o evento.
Idempotencia
Propiedad que evita repetir el efecto previsto al procesar nuevamente la misma operación.
Anti-replay
Controles de frescura y repetición que limitan la reutilización de mensajes válidos.
Separación de funciones
Distribución de responsabilidades incompatibles entre actores distintos.
Step-up
Exigencia de autenticación adicional o más reciente ante una operación sensible.
Auditoría
Registro protegido y correlacionable de identidades, acciones, recursos, decisiones y resultados.
Activo
Dato, sistema, identidad, proceso o capacidad que tiene valor y necesita protección.
Amenaza
Actor o circunstancia con capacidad de producir un daño.
ASVS
Estándar OWASP de requisitos técnicos para verificar la seguridad de aplicaciones. Cada referencia debe indicar la versión utilizada.
SSDF
Marco NIST de prácticas de desarrollo seguro que organiza actividades del ciclo de vida del software.
AppSec
Disciplina que integra seguridad en todo el ciclo de vida de una aplicación.
DAST
Análisis dinámico que prueba una aplicación en ejecución desde sus interfaces expuestas.
DevSecOps
Integración de seguridad en los flujos automatizados de desarrollo, entrega y operación.
Backlog de seguridad
Conjunto priorizado de acciones para reducir riesgos y mejorar controles de un producto.
DFD
Diagrama de flujo de datos que representa actores, procesos, almacenes, flujos y fronteras.
Frontera de confianza
Punto donde datos o acciones cruzan entre contextos con niveles de confianza diferentes.
Gate de seguridad
Condición verificable que determina si un cambio puede avanzar en el pipeline.
Historia de abuso
Escenario que describe cómo un actor podría utilizar una función de forma no prevista para causar daño.
Mínimo privilegio
Asignación exclusiva de los permisos necesarios para una función y un tiempo determinados.
Modelado de amenazas
Proceso estructurado para identificar, analizar y tratar amenazas desde el diseño y durante la evolución del sistema.
Riesgo
Posibilidad de que una amenaza aproveche una debilidad y produzca un impacto.
Riesgo residual
Riesgo que permanece después de aplicar los controles previstos.
SAST
Análisis del código o artefactos sin ejecutar la aplicación.
SCA
Análisis de componentes y dependencias de terceros, sus versiones, licencias y vulnerabilidades.
SDLC
Ciclo de vida utilizado para definir, construir, verificar, desplegar, operar y retirar software.
Superficie de ataque
Conjunto de entradas, interfaces, identidades y recursos que un atacante puede intentar utilizar.
STRIDE
Método para explorar suplantación, manipulación, repudio, divulgación, denegación de servicio y elevación de privilegios.
Vulnerabilidad
Debilidad técnica, lógica, de configuración o proceso susceptible de explotación.