Conceptos básicos de HTTP y HTTPS

HTTP (Hypertext Transfer Protocol) es la base de la comunicación web. Define cómo los navegadores solicitan recursos a los servidores y cómo responden estos. HTTP no tiene estado: cada solicitud es independiente.

Una solicitud HTTP tiene:

• Método: GET, POST, PUT, DELETE, PATCH, OPTIONS
• URL: la ruta del recurso
• Encabezados: metadatos (Content-Type, Authorization, User-Agent)
• Cuerpo: datos enviados con solicitudes POST/PUT

Una respuesta HTTP incluye:

• Código de estado: 200 OK, 301 Redirect, 401 Unauthorized, 403 Forbidden, 404 Not Found, 500 Server Error
• Encabezados: Content-Type, Set-Cookie y encabezados CORS
• Cuerpo: HTML, JSON u otro contenido

Métodos HTTP y sus implicaciones de seguridad:

• GET: debería ser de solo lectura; los parámetros de la URL se registran en logs
• POST: envía datos en el cuerpo; no es seguro por sí mismo
• PUT/DELETE: deben estar protegidos mediante autenticación
• OPTIONS: revela los métodos permitidos y puede poner de manifiesto una configuración incorrecta

HTTPS = HTTP + cifrado TLS. Proporciona:

• Cifrado: los datos en tránsito están cifrados (confidencialidad)
• Integridad: la manipulación se detecta mediante MAC
• Autenticación: la identidad del servidor se verifica mediante un certificado

Sin HTTPS, todos los datos, incluidas las contraseñas y los tokens de sesión, son visibles para quienes escuchan el tráfico de la red.

Al conectarse a un sitio HTTPS:

1. El cliente envía los conjuntos de cifrado compatibles
2. El servidor envía el certificado y el cifrado elegido
3. El cliente verifica el certificado con las autoridades de certificación de confianza
4. El intercambio de claves establece una clave de sesión compartida
5. Comienza la comunicación cifrada

Encabezados de respuesta importantes para la seguridad:

• Strict-Transport-Security (HSTS) — obliga a usar HTTPS
• Content-Security-Policy (CSP) — controla qué recursos se cargan
• X-Frame-Options — evita el clickjacking
• X-Content-Type-Options — evita la detección incorrecta del tipo MIME

HTTP no tiene estado, por lo que las sesiones se rastrean mediante cookies. Atributos seguros de las cookies:

• HttpOnly — no se puede acceder a ellas mediante JavaScript (evita su robo mediante XSS)
• Secure — solo se envían mediante HTTPS
• SameSite=Strict/Lax — evita ataques CSRF

HTTPS solo cifra el canal, no el contenido. Un sitio de phishing puede usar HTTPS (el icono del candado) mientras aloja contenido malicioso. HTTPS confirma la identidad del servidor, no que el servidor sea confiable.

Las versiones modernas de HTTP mejoran el rendimiento:

• HTTP/2 — multiplexación, compresión de encabezados y server push mediante TLS
• HTTP/3 — utiliza QUIC (basado en UDP) para reducir la latencia, especialmente en dispositivos móviles

Ambas requieren TLS. Las implicaciones de seguridad son similares a las de HTTP/1.1, pero la superficie de ataque cambia ligeramente.

Herramientas para analizar HTTP:

• Burp Suite — intercepta y modifica solicitudes/respuestas
• curl — envía solicitudes desde la línea de comandos
• Wireshark — captura tráfico sin procesar (HTTP visible; HTTPS cifrado)

¿Qué atributo de las cookies HTTP impide que JavaScript acceda a la cookie y la protege contra el robo mediante XSS?

HTTP es la base de la comunicación web. HTTPS añade cifrado TLS, integridad y autenticación del servidor. Los encabezados de seguridad refuerzan las aplicaciones web. Las cookies deben tener los atributos HttpOnly, Secure y SameSite. Recuerde: HTTPS cifra el canal, pero no garantiza que un sitio sea confiable.