Preguntas de entrevista de Seguridad
50 preguntas de entrevista de Seguridad con respuestas, de nivel junior a intermedio.
Fundamentos
- ¿Cuáles son los tres objetivos de la seguridad de la información, conocidos como la tríada CIA?
- En seguridad, ¿qué es una vulnerabilidad?
- ¿Qué es el malware?
- ¿Qué hace un firewall?
- ¿Por qué debes instalar rápido las actualizaciones y los parches de seguridad?
- ¿Qué es PII?
- ¿Qué es OWASP y qué es su Top 10?
- ¿Qué hábito protege mejor tus cuentas online?
Base
- ¿Cuál es la defensa principal correcta contra la SQL injection?
- ¿Cómo deben guardarse las contraseñas de los usuarios?
- ¿Hashing frente a cifrado?
- El principio de mínimo privilegio significa…
- Subiste por accidente una API key a un repo público de GitHub y luego eliminaste el commit. ¿Qué debes hacer?
- ¿Autenticación frente a autorización?
- ¿Qué es la autenticación multifactor (MFA)?
- Un correo que parece venir de tu banco te pide 'verificar tu cuenta' en un enlace. Esto suele ser…
- Tu formulario comprueba el formato del email con JavaScript antes de enviar. ¿Sigue haciendo falta validar en el servidor?
- ¿Cuál es una propiedad de una función hash criptográfica como SHA-256?
- ¿Dónde deben guardarse la contraseña de la base de datos o las API keys de una aplicación?
- Una librería que usa tu app tiene una vulnerabilidad publicada (un CVE). ¿Cuál es la respuesta correcta?
- Un sitio web muestra el candado de HTTPS. ¿Qué garantiza eso?
- Un atacante prueba miles de contraseñas por minuto en una cuenta. ¿Qué control ayuda más directamente?
- ¿Qué hacen las herramientas SAST, DAST y SCA?
Intermedio
- Un comentario que contiene
<script>se guarda y luego se muestra a otros usuarios, ejecutándose en sus navegadores. Esto es… - Los ataques CSRF funcionan porque…
- ¿Para qué sirve un salt en el hash de contraseñas?
- ¿Qué garantías ofrece TLS (HTTPS)?
- ¿Criptografía simétrica frente a asimétrica?
- Tanto en el OWASP Top 10 de 2021 como en el de 2025, ¿qué categoría ocupa el puesto 1?
- Cambiar
/api/orders/1001por/api/orders/1002muestra el pedido de otro cliente. Esta vulnerabilidad es… - ¿Es CORS un control de seguridad que protege tu API de los atacantes?
- Unos atacantes prueban en tu login parejas de email y contraseña filtradas en otras brechas. ¿Cuál es la mitigación más fuerte?
- Para validar entradas, ¿qué enfoque es más seguro?
- Una petición a
/download?file=../../etc/passwddevuelve el archivo del sistema. Esto es… - Encuentras una vulnerabilidad en código de producción. ¿Qué haces?
- ¿Qué lección principal dejó Log4Shell (2021) a la industria?
- ¿Qué significa "defensa en profundidad"?
- ¿Qué son el threat modeling y las categorías STRIDE?
- ¿Cuál es la diferencia entre cifrado en tránsito y cifrado en reposo?
- ¿Por qué
@Validen los cuerpos de petición más las consultas parametrizadas forman parte de la programación segura en Spring? - ¿Qué técnicas de seguridad de software debería conocer un desarrollador backend?
Avanzado
- Tu función 'obtener imagen desde URL' permite a un atacante pedir
http://169.254.169.254/latest/meta-data/. Esto es… - ¿Por qué quien verifica un JWT debe indicar explícitamente los algoritmos permitidos?
- ¿Qué header HTTP es una buena capa de defensa en profundidad contra XSS?
- ¿Qué hace el header
Strict-Transport-Security(HSTS)? - ¿Por qué es peligroso
pickle.loads()con datos de los usuarios? - La session fixation se evita…
- Explica a alto nivel qué pasa en un handshake TLS.
- ¿Por qué es peligrosa la deserialización en Java de datos no confiables?
- ¿Qué práctica evita mejor que se filtren secretos en el código fuente de un proyecto Java/Spring?