Python seguro desde cero: buenas prácticas para evitar vulnerabilidades en aplicaciones y APIs

Python es uno de los lenguajes más usados para crear APIs, automatizaciones, aplicaciones web, scripts empresariales, ciencia de datos e inteligencia artificial. Pero escribir código que “funciona” no significa escribir código seguro. Una API puede responder rápido y aun así exponer datos, aceptar entradas peligrosas, filtrar secretos, ejecutar comandos indebidos o depender de paquetes vulnerables.

Esta guía resume las prácticas esenciales para aprender Python seguro desde cero, con enfoque en aplicaciones y APIs. La idea no es volver complejo el desarrollo, sino incorporar seguridad desde el primer archivo del proyecto: dependencias controladas, validación de entradas, autenticación, autorización, manejo correcto de secretos, logs útiles, pruebas automatizadas y revisión continua.

1. Empieza con un entorno limpio y dependencias controladas

Todo proyecto Python debería iniciar con un entorno virtual. Esto evita mezclar librerías del sistema con dependencias del proyecto y permite reproducir versiones. En proyectos profesionales, además conviene fijar versiones, revisar vulnerabilidades y documentar cada paquete que se instala.

python -m venv .venv
source .venv/bin/activate
python -m pip install --upgrade pip

Para auditar dependencias, pip-audit es una herramienta oficial del ecosistema PyPA que revisa entornos, archivos de requisitos y árboles de dependencias contra bases de datos de vulnerabilidades conocidas. También existe Bandit, un analizador estático diseñado para encontrar problemas comunes de seguridad en código Python.

pip install pip-audit bandit

pip-audit
bandit -r .

2. Valida siempre las entradas

Una regla básica de seguridad es no confiar en ningún dato externo. Todo lo que llega por formularios, JSON, cabeceras HTTP, cookies, parámetros de URL, archivos, colas, webhooks o APIs externas debe validarse antes de usarse.

En APIs modernas con FastAPI, el uso de modelos de datos ayuda a validar tipos, estructuras y campos obligatorios. En Django y Flask también se pueden usar formularios, validadores y esquemas externos. Lo importante es validar en el servidor, aunque el frontend ya valide.

3. Evita SQL injection con consultas parametrizadas

Una de las fallas clásicas en aplicaciones web es construir consultas SQL concatenando texto con datos del usuario. La forma correcta es usar consultas parametrizadas, ORM o abstracciones que separen datos de instrucciones SQL.

import sqlite3

def obtener_usuario(usuario_id: int):
with sqlite3.connect("app.db") as conn:
cursor = conn.execute(
"SELECT id, nombre, email FROM usuarios WHERE id = ?",
(usuario_id,)
)
return cursor.fetchone()

SQLAlchemy explica que los parámetros enlazados son manejados por el DBAPI y advierte que saltarse ese mecanismo es una de las fallas de seguridad más explotadas en aplicaciones modernas.

4. Protege autenticación y autorización en APIs

En APIs, no basta con saber quién es el usuario; también hay que comprobar qué puede hacer. OWASP API Security Top 10 2023 coloca fallas como Broken Object Level Authorization, Broken Authentication y Broken Object Property Level Authorization entre los riesgos principales de APIs.

En términos simples: cada endpoint debe validar identidad, permisos, propiedad del recurso y acciones permitidas. Un usuario autenticado no debería poder ver, modificar o borrar recursos de otro usuario solo cambiando un identificador.

5. Usa tokens y secretos de forma segura

Python incluye el módulo secrets, diseñado para generar tokens seguros para casos como recuperación de contraseña, URLs difíciles de adivinar y credenciales temporales. La recomendación es no usar random para tokens de seguridad.

import secrets

token = secrets.token_urlsafe(32)

Las claves de API, contraseñas de base de datos, llaves privadas y secretos JWT no deben estar escritos dentro del código. Deben cargarse desde variables de entorno, gestores de secretos o configuración segura del entorno de despliegue.

6. No uses pickle con datos no confiables

pickle es útil para serializar objetos Python, pero no debe usarse para cargar datos no confiables. La documentación oficial de Python advierte que nunca se debe deserializar información que provenga de una fuente no confiable o que pueda haber sido manipulada.

Para APIs, configuraciones, integraciones y transferencia de datos, normalmente es más seguro usar formatos como JSON con validación estricta de esquema. En ciencia de datos e IA, los archivos serializados también deben tratarse con cuidado, especialmente si vienen de terceros.

7. Cuidado con subprocess y comandos del sistema

Muchas aplicaciones Python necesitan llamar comandos del sistema. El riesgo aparece cuando se mezcla entrada del usuario con comandos shell. La documentación oficial de Python incluye advertencias específicas sobre el uso de subprocess y recomienda leer las consideraciones de seguridad antes de usar shell=True.

import subprocess

resultado = subprocess.run(
["python", "--version"],
capture_output=True,
text=True,
check=True
)

print(resultado.stdout)

La práctica recomendada es pasar argumentos como lista, evitar shell=True, validar entradas y usar listas permitidas cuando el usuario pueda elegir una acción.

8. Configura CORS, cookies y CSRF correctamente

En aplicaciones web y APIs consumidas desde navegador, CORS mal configurado puede exponer datos o permitir orígenes no confiables. OWASP Top 10 menciona la mala configuración de CORS como ejemplo dentro de fallas de control de acceso.

Flask documenta consideraciones de seguridad relacionadas con XSS, CSRF, cookies, cabeceras de seguridad y límites de recursos. Django, por su parte, incluye protecciones contra XSS y CSRF siempre que se usen correctamente sus mecanismos.

9. Maneja errores sin filtrar información sensible

Una API no debe devolver trazas completas, rutas internas, variables de entorno, consultas SQL ni detalles de infraestructura al usuario final. Los errores deben ser útiles para el cliente, pero los detalles técnicos deben quedar en logs internos protegidos.

10. Aplica límites de recursos y protección contra abuso

Una API puede ser vulnerable no solo por exposición de datos, sino por consumo excesivo de recursos. OWASP API Security Top 10 2023 incluye Unrestricted Resource Consumption como riesgo relevante para APIs.

En Python, esto implica limitar tamaño de archivos, cantidad de registros por consulta, profundidad de filtros, número de peticiones, tiempo de ejecución, tamaño de payload y operaciones costosas. Flask también documenta límites relacionados con el tamaño de formularios y recursos del proceso.

11. Checklist de buenas prácticas para Python seguro

12. Errores comunes al programar Python para APIs

Preguntas clave

Recomendamos

En resumen

Programar Python seguro desde cero significa adoptar una mentalidad preventiva. No se trata de agregar seguridad al final, sino de diseñar cada endpoint, consulta, archivo, dependencia y token con controles claros.

Las prácticas más importantes son simples pero poderosas: validar entradas, usar consultas parametrizadas, auditar dependencias, proteger secretos, evitar pickle con datos no confiables, controlar permisos por objeto, limitar recursos, registrar eventos útiles y automatizar revisiones de seguridad.