Seguridad desde el primeracceso

Identidad de extremo a extremo: contraseñas, sesiones, JWT, OAuth 2.0, OIDC y SSO, y modelos de autorización (RBAC/ABAC). Diseñar un login seguro y entender por qué cada decisión importa.

Empezar

Acceso al curso completo, ejercicios y material de entrevista.

# Nunca en claro: hash lento con sal por usuario
from argon2 import PasswordHasher

ph = PasswordHasher()
hash = ph.hash("correcto-caballo-grapa")

# Al iniciar sesión: verificar, nunca comparar texto
ph.verify(hash, intento)

→$argon2id$v=19$m=65536,t=3,p=4$...

→verify("clave-erronea") → VerifyMismatchError

⧗Lento a propósito: la fuerza bruta no compensa

# Un JWT: cabecera . payload . firma
eyJhbGciOiJIUzI1NiJ9           # { alg: HS256 }
.eyJzdWIiOiI0ODEiLCJleHAiOjE3...}   # { sub, exp, scope }
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1  # firma

→verify(token, key) → firma válida

→exp < ahora → 401 token expirado

→alg == "none" → rechazado siempre

⧗Firma, emisor, audiencia y expiración: todo se valida

# Authorization Code + PKCE: el flujo recomendado
1. app → /authorize?code_challenge=S256...
2. usuario inicia sesión en el proveedor
3. proveedor → app?code=abc
4. app → /token  (code + code_verifier)
5. proveedor → access_token + refresh_token

→La contraseña nunca pasa por tu aplicación

→PKCE ata el código a quien lo pidió

⧗Delegar el acceso sin ver la credencial del usuario

Orientado a entrevistas

No solo aprendes auth. Te preparas para que te contraten.

Banco orientado a la entrevista técnica: sesión vs token, cómo guardarías una contraseña, explicar OAuth y diseñar un login seguro de principio a fin.

Preguntas

Preguntas reales de entrevistas técnicas.

Errores comunes

Lo que delata a un junior frente al entrevistador.

Retos de debug

Flujos de auth rotos o inseguros que hay que corregir.

Qué vas a aprender

Del hash a diseñar un login seguro de extremo a extremo

Contraseñas que no se filtran

Hashing lento (Argon2, bcrypt), salt, pepper y defensa ante credential stuffing.

Sesiones y JWT, y cuándo cada uno

Cookies seguras, estructura y validación de un JWT, refresh tokens y revocación.

OAuth 2.0, OIDC y SSO

Authorization Code con PKCE, scopes, "iniciar sesión con Google" e inicio único.

Autorización que aguanta

RBAC, ABAC y ReBAC, permisos a nivel de objeto y motores de políticas a escala.

Auth según el tipo de cliente

Web con servidor, SPA, móvil con PKCE y máquina a máquina: dónde guardar qué.

Implementarlo en tu stack

Passport y Auth.js, Django y FastAPI, Spring Security; o delegar en Auth0, Clerk y Keycloak.