Las guías de pruebas de OWASP y dónde encajan

Para aplicaciones web, OWASP tiene dos documentos con propósitos distintos. La guía de pruebas web (WSTG) describe cómo probar: qué buscar, cómo reconocerlo, qué evidencia sirve. El estándar de verificación de seguridad de aplicaciones (ASVS) dice qué requisitos tiene que cumplir una aplicación; es un criterio contra el que se mide, no un procedimiento. Para el móvil existe la misma pareja: el estándar MASVS y la guía de pruebas MASTG.

En un encargo se combinan así: el estándar fija qué se espera, la guía de pruebas dice cómo comprobarlo, y la metodología del encargo pone el resto (alcance, reglas, informe).

Cada prueba de la WSTG tiene un identificador con la forma WSTG-<categoría>-<número>, con la categoría en cuatro letras mayúsculas. El propio proyecto advierte que esos identificadores pueden cambiar entre versiones, y por eso pide que informes y herramientas los citen con la versión delante: la prueba 2 de la categoría de recolección de información de la versión 4.2 se escribe WSTG-v42-INFO-02. Un identificador sin versión se entiende como «el de la última versión», que mañana puede ser otro.

Citar con versión obliga a algo más: que el identificador exista en esa versión. Si alguien escribe los códigos de memoria, o los copia de otra edición de la guía, y les pone delante el prefijo de la versión declarada, el informe apunta a una prueba que nadie puede encontrar.

Compara la matriz con el extracto del catálogo de la 4.2.

La WSTG es para aplicaciones web. Lo que la app hace dentro del teléfono —qué guarda, dónde y cómo— se prueba con la guía móvil, aunque la app hable con el mismo portal.