Trata el código generado como una contribución no confiable. Comprueba la autorización en el servidor, valida las entradas en los límites de las API, verifica los controles de propiedad y protege las respuestas de error. Busca claves de API, tokens y datos privados en el repositorio y los artefactos de compilación.
Revisa los cambios de dependencias y los lockfiles; instala en CI desde el lockfile confirmado en el repositorio. Prueba la autenticación, los roles, las cargas de archivos, los pagos y las copias de seguridad en staging. Usa una referencia de seguridad como OWASP ASVS para definir qué se debe verificar. OWASP ASVS
Pasos a seguir
- Busca secretos en el código, el historial y el resultado de compilación.
- Revisa los cambios de dependencias y lockfiles.
- Prueba el control de acceso y la validación de entradas como otro usuario.
- Comprueba las copias de seguridad y la reversión antes de publicar en producción.