Daniel Alfocea

MCP Enterprise Security: A Practical Architecture and Lessons to Avoid Being Pwned

Fri, 06 Mar 2026 00:00:00 +0000

When MCP goes Wrong - Que MCP no rompa tu seguridad

Thu, 05 Mar 2026 00:00:00 +0000

LAPIS: Lightweight API Specification for Intelligent Systems

Fri, 20 Feb 2026 00:00:00 +0000

OpenAPI fue diseñado para generadores de código y herramientas de documentación. Cuando un LLM lo procesa, consume tokens que no aportan información útil al modelo.

LAPIS es un formato de especificación de APIs pensado específicamente para cómo los modelos de lenguaje consumen documentación. Probado con APIs de GitHub, Twilio y DigitalOcean, la reducción media es del 85.5% de tokens frente a OpenAPI YAML y del 88.6% frente a JSON.

Además de la compacidad, LAPIS incluye manejo centralizado de errores, triggers de webhooks, descripción de rate limiting y flujos de operaciones, cosas que OpenAPI dispersa o no contempla directamente.

Censorship, privacy and the fine art of disappearing without trace

Fri, 07 Mar 2025 00:00:00 +0000

Haciendo cosas divertidas con bases de datos

Fri, 04 Oct 2024 00:00:00 +0000

Bases de datos como infraestructura de ataque sofisticada.

De qué va

Olvidémonos de SQL injection básica, borrado de datos o robo de información. Eso ya lo conocemos.

Esta charla va de cómo los atacantes pueden usar bases de datos como parte de infraestructura de ataque sofisticada:

Bases de datos como C2 (Command & Control)
Persistencia avanzada vía DB
Lateral movement usando infraestructura DB
Exfiltración encubierta
Paralelismos con evolución de malware

Por qué es relevante

Las bases de datos están en el corazón de todo sistema moderno. Pero rara vez se piensan como vectores de ataque avanzado.

Dockerscan

Mon, 01 Jan 2024 00:00:00 +0000

Dockerscan es probablemente el escáner de seguridad para Docker más completo que existe.

Cuando empezó el boom de los contenedores, me di cuenta de que había un problema gordo: la gente no sabía cómo securizar sus contenedores. Y las herramientas que había eran… bueno, digamos que dejaban mucho que desear.

Así que me puse manos a la obra y creé Dockerscan.

¿Qué hace?

Escanea imágenes de Docker en busca de vulnerabilidades
Analiza la configuración de los contenedores
Detecta secretos hardcodeados
Identifica problemas de seguridad en tiempo real
Y mucho más

Impacto

Con +1,400 estrellas en GitHub, Dockerscan se ha convertido en una herramienta de referencia para securizar contenedores.

Slow JSON Stream: A Low-Bandwidth Denial-of-Service Attack Against HTTP APIs with JSON Request Bodies

Wed, 24 Jun 2026 00:00:00 +0000

Slow JSON Stream es un ataque de denegación de servicio de bajo ancho de banda contra APIs HTTP que aceptan cuerpos application/json.

Cómo funciona

El atacante abre una conexión HTTP/1.1 con Transfer-Encoding chunked y envía un prefijo JSON válido (por ejemplo {"items":[{...,}) a un byte por segundo, sin enviar nunca el token de cierre. Slowloris hace lo mismo con las cabeceras HTTP y los servidores ya lo cortan con client_header_timeout. Esta variante llega al lector de cuerpo del framework y al parser JSON, donde la mayoría de frameworks no tienen timeout configurado por defecto.

AWS, with its lambdas and its little things

Fri, 08 Mar 2024 00:00:00 +0000

Aiotasks

Tue, 02 Jan 2024 00:00:00 +0000

Aiotasks es un gestor de tareas distribuidas para Python Asyncio. Piensa en Celery, pero para código asíncrono.

Me encanta Asyncio. Me parece una de las mejores cosas que le han pasado a Python. Pero cuando intenté usar Celery con código asíncrono, fue un infierno.

Así que creé Aiotasks.

¿Por qué Aiotasks?

Asíncrono de verdad: Diseñado desde cero para Asyncio
Simple: No necesitas doctorado en Python para usarlo
Distribuido: Escala horizontalmente sin problemas
Ligero: No tiene las mil dependencias que tiene Celery

Casos de uso

Lo he usado en producción para:

Protege tu Python… porque si es tan malo como suena, mejor que nadie lo vea

Fri, 06 Oct 2023 00:00:00 +0000

Entretenido, instructivo y un auténtico brainfuck sobre protección de código Python.

De qué va

Escenarios donde necesitas proteger tu código Python: propiedad intelectual, distribuir aplicaciones, mejorar rendimiento, asegurar algoritmos sensibles.

En esta charla cubrimos:

Métodos básicos de ofuscación
Empaquetado y cifrado de código
Técnicas avanzadas: crear intérpretes Python personalizados
Análisis de efectividad de cada método
Casos de uso reales y limitaciones

Por qué es relevante

Python es código abierto por diseño. Pero a veces necesitas proteger algoritmos propietarios, productos comerciales o herramientas internas sensibles.

Protegiendo Código Fuente Python

Fri, 06 Oct 2023 00:00:00 +0000

Técnicas para proteger código fuente Python, desde las más obvias hasta las más avanzadas.

De qué va

Cuando publicas código Python, normalmente lo publicas en texto plano. Pero a veces necesitas proteger tu código fuente.

En esta charla cubrimos:

Técnicas básicas: ofuscación, bytecode
Técnicas intermedias: empaquetado, cifrado
Técnicas avanzadas: compilar tu propio intérprete Python modificado
Pros y contras de cada aproximación
Casos de uso reales

Por qué es relevante

Hay situaciones donde proteger el código fuente es necesario: productos comerciales, algoritmos propietarios, herramientas internas.

Plecost

Mon, 17 Mar 2014 00:00:00 +0000

Plecost detecta vulnerabilidades en instalaciones de WordPress: el núcleo, los plugins y los temas. Cada hallazgo se cruza con una base de CVE local que se actualiza cada día.

Vive en su propia organización de GitHub, pero es mío. Lo empecé en 2014 y en la versión 4 lo reescribí desde cero.

Por qué existe

Quien audita WordPress en producción acaba chocando con lo mismo: límites de API, datos de vulnerabilidades que dependen de un servicio externo, ninguna forma de usarlo como librería y un escaneo lento porque no es concurrente.

NoSQL Injection Wordlists

Wed, 03 Jan 2024 00:00:00 +0000

NoSQL Injection Wordlists es la colección de payloads para testear NoSQL Injections más completa que vas a encontrar.

Cuando empecé a hacer pentesting de aplicaciones que usaban MongoDB, Cassandra y otras bases de datos NoSQL, me di cuenta de que no había buenas wordlists.

Las que había eran pobres. Muy pobres.

¿Qué incluye?

Cientos de payloads para:

MongoDB
Cassandra
CouchDB
Redis
Y muchas más

Impacto real

+370 estrellas y usado por pentesters de todo el mundo.

Asyncio en producción: lo que nadie te cuenta

Sat, 08 Oct 2022 00:00:00 +0000

Todo lo que he aprendido usando Python Asyncio en producción. Lo bueno, lo malo y lo feo.

Resumen

Asyncio es genial. Hasta que no lo es.

En esta charla cuento:

Errores comunes al usar Asyncio
Problemas de rendimiento que nadie te cuenta
Debugging de código asíncrono
Patrones que funcionan en producción

Basado en experiencia real

No es teoría. Es lo que he aprendido construyendo sistemas que procesan millones de eventos al día.

FestIn

Thu, 04 Jan 2024 00:00:00 +0000

FestIn es un escáner de buckets S3 abiertos. Te ayuda a encontrar datos expuestos antes de que lo hagan los malos.

Amazon S3 es genial. Pero la gente lo configura mal. Muy mal.

He visto de todo: bases de datos completas, documentos confidenciales, backups sin cifrar… todo al aire.

¿Qué hace FestIn?

Escanea buckets S3 en busca de configuraciones inseguras
Detecta datos expuestos públicamente
Identifica permisos incorrectos
Genera reportes detallados

Historia real

Una vez, usando FestIn, encontré un bucket con información médica de millones de personas. Contacté con la empresa. Les costó creerlo.

Spreading Application Security Ownership Across the Entire Organization

Tue, 07 Jun 2022 00:00:00 +0000

RSA Conference 2022 - Una de las conferencias de ciberseguridad más importantes del mundo.

De qué va

La seguridad de aplicaciones no puede ser responsabilidad únicamente del equipo de seguridad. Necesita estar distribuida a través de toda la organización.

En esta sesión cubrimos:

Estrategias para distribuir la propiedad de seguridad
Cómo empoderar a los equipos de desarrollo
Crear cultura de seguridad en toda la organización
Métricas y medición de éxito
Casos reales de implementación

Por qué es relevante

Las organizaciones más exitosas en seguridad son aquellas donde todos se sienten responsables, no solo el equipo de seguridad.

Aiohttp-Swagger

Fri, 05 Jan 2024 00:00:00 +0000

Aiohttp-Swagger genera documentación automática de APIs para servidores aiohttp.

Documentar APIs es un coñazo. Lo sé. Lo sabes. Todos lo sabemos.

Pero es necesario. Y tiene que estar actualizada. Sino, es peor que no tenerla.

¿Por qué lo creé?

Me encanta aiohttp. Es rápido, simple y potente. Pero no tenía una forma decente de generar documentación Swagger.

Así que la creé.

Características

Automático: Genera la documentación desde tu código
Swagger UI: Interfaz visual para probar la API
OpenAPI: Estándar de facto para APIs REST
Fácil: Dos líneas de código y ya

Adopción

+180 estrellas y usado en APIs que procesan millones de peticiones al día.

From the Heaven to Hell in the CI/CD

Fri, 06 Mar 2020 00:00:00 +0000

Vulnerabilidades críticas en CI/CD que nadie te cuenta.

De qué va

Los pipelines CI/CD son el nuevo objetivo. Compromete el CI/CD y comprometes toda la empresa.

En esta charla cubrimos:

Top 10 vulnerabilidades en CI/CD
Ataques a Jenkins, GitLab CI, GitHub Actions, CircleCI
Supply chain attacks a través de CI/CD
Compromiso de secretos y credenciales
Defense in depth para pipelines

Por qué es relevante

El CI/CD es la puerta de entrada a producción. Un pipeline comprometido significa código malicioso en producción sin que nadie se entere.

Enteletaor

Sat, 06 Jan 2024 00:00:00 +0000

Enteletaor es una herramienta de pentesting especializada en Message Queues y Brokers.

RabbitMQ, Redis, Apache Kafka… son componentes críticos en arquitecturas modernas. Y nadie los testea bien.

El problema

La mayoría de pentesters se centran en aplicaciones web. Pero los message brokers son igual de críticos. Y están igual de mal configurados.

¿Qué hace Enteletaor?

Detecta configuraciones inseguras en brokers
Inyecta mensajes maliciosos
Identifica problemas de autenticación
Testea permisos incorrectos

Casos reales

He encontrado vulnerabilidades críticas en sistemas que procesaban transacciones financieras.

Crawlino: The New Level of Crawling Systems

Fri, 02 Mar 2018 00:00:00 +0000

Presentación de Crawlino, un sistema de crawling distribuido de nueva generación.

De qué va

Crawlino es un sistema de crawling distribuido diseñado para reconocimiento y análisis de aplicaciones web a escala.

En esta charla cubrimos:

Limitaciones de los crawlers tradicionales
Arquitectura distribuida y escalable
Crawling inteligente con aprendizaje
Casos de uso en pentesting y reconocimiento
Rendimiento: millones de URLs por día

Por qué es relevante

Los crawlers tradicionales no escalan. Cuando necesitas analizar miles de dominios o millones de URLs, necesitas otra aproximación.

Dockerfile Security

Sun, 07 Jan 2024 00:00:00 +0000

Dockerfile Security es un analizador estático que encuentra problemas de seguridad en tus Dockerfiles antes de construir las imágenes.

Prevenir es mejor que curar. Especialmente en seguridad.

¿Por qué es importante?

Los Dockerfiles son código. Y como todo código, pueden tener vulnerabilidades:

Secretos hardcodeados
Usuarios con privilegios excesivos
Puertos innecesarios expuestos
Software desactualizado

Características

Análisis estático: Sin necesidad de construir la imagen
Rápido: Segundos, no minutos
Integrable: CI/CD friendly
Detallado: Explica qué está mal y cómo arreglarlo

Impacto

+95 estrellas y usado en pipelines de CI/CD de empresas que se toman la seguridad en serio.

Docker Might Not Be Your Friend - Trojanizing Docker Images

Wed, 01 Mar 2017 00:00:00 +0000

Docker puede ser tu peor enemigo si no sabes lo que haces.

De qué va

Con Roberto Muñoz presentamos técnicas avanzadas para troyanizar imágenes Docker y comprometer sistemas a través de contenedores.

En esta charla cubrimos:

Troyanización de imágenes Docker
Backdoors en contenedores
Ataques a registros Docker (Docker Hub, privados)
Supply chain attacks a través de imágenes
Persistencia y lateral movement vía Docker

Por qué es relevante

Todo el mundo usa Docker. Todo el mundo confía en imágenes de terceros. Nadie verifica lo que realmente contienen.

Vulnerable Node

Mon, 08 Jan 2024 00:00:00 +0000

Vulnerable Node es una tienda web pequeña escrita en NodeJS con vulnerabilidades de verdad en el código. No simuladas: reales.

Por qué existe

Cuando construyes un analizador de código, necesitas algo contra lo que probarlo. Y las aplicaciones vulnerables que había, como OWASP NodeGoat, están bien para aprender pero no para medir una herramienta: sus fallos están simulados, y un analizador serio no los encuentra porque no están ahí.

Vulnerable Node lo escribí para lo contrario. Una aplicación con los fallos metidos en el código fuente, en sitios identificables, para poder responder a una pregunta concreta: ¿cuántos de estos encuentra tu herramienta?

I Meetup OWASP Madrid

Wed, 01 Jun 2016 00:00:00 +0000

Primer meetup del capítulo OWASP Madrid.

De qué va

Charla técnica sobre seguridad en aplicaciones web en el primer meetup oficial del capítulo OWASP Madrid.

Los ejemplos y código de la charla están disponibles en GitHub: cr0hn/i-owasp-madrid

OWASP Madrid

OWASP (Open Web Application Security Project) es la organización de referencia mundial en seguridad de aplicaciones web.

El capítulo de Madrid es uno de los más activos de España, con meetups regulares sobre seguridad en aplicaciones, APIs y desarrollo seguro.

Aiohttp-Cache

Tue, 09 Jan 2024 00:00:00 +0000

Aiohttp-Cache es un sistema de caché para servidores aiohttp que hace que tus APIs vuelen.

La velocidad importa. Mucho.

El problema

Las APIs suelen hacer lo mismo una y otra vez. Consultas a base de datos, llamadas a servicios externos… todo eso es lento.

¿La solución? Caché. Pero hacerlo bien es complicado.

¿Qué hace Aiohttp-Cache?

Caché automática de respuestas HTTP
Soporte para múltiples backends (Redis, Memcached, memoria)
Invalidación inteligente
TTL configurables
Zero config por defecto

Casos de uso

Lo he usado en APIs que pasaron de 100ms de latencia a 5ms.

Broker & MQ Injection

Tue, 01 Mar 2016 00:00:00 +0000

Primera presentación pública del concepto Broker Injection.

De qué va

Presenté por primera vez el concepto de Broker Injection y libere Enteletaor, una herramienta de seguridad para inyectar, extraer y modificar información de Brokers y Message Queues.

En esta charla cubrimos:

Vulnerabilidades en sistemas de mensajería (Redis, RabbitMQ, ZeroMQ)
Técnicas de inyección en brokers
Exfiltración de datos sensibles
Demostración práctica con Enteletaor

Por qué es relevante

Los brokers y sistemas de mensajería están en el corazón de sistemas distribuidos modernos. Pero nadie hablaba de su seguridad.

OpenVAS to Report

Wed, 10 Jan 2024 00:00:00 +0000

OpenVAS to Report es un conjunto de herramientas para convertir los reportes XML de OpenVAS en informes ejecutivos profesionales.

OpenVAS es genial para encontrar vulnerabilidades. Pero sus reportes dan pena.

El problema real

Cuando haces un pentest, necesitas dos tipos de informes:

Técnico: Para los administradores de sistemas
Ejecutivo: Para los jefes que toman decisiones

OpenVAS solo te da XML. Y es horrible de leer.

¿Qué hace esta herramienta?

Convierte el XML de OpenVAS en:

Python, Hacking y Sec-tools desde las Trincheras

Tue, 01 Dec 2015 00:00:00 +0000

Workshop práctico de Python para hacking y seguridad.

De qué va

No es una charla. Es un workshop hands-on de cómo construir herramientas de seguridad con Python.

En este workshop cubrimos:

Network hacking con Scapy
Web hacking con Python
Desarrollo de herramientas de seguridad
De script a herramienta profesional
Mejores prácticas y patrones

Por qué es relevante

Python es el lenguaje por excelencia en seguridad. Pero hay mucha diferencia entre un script de 50 líneas y una herramienta profesional.

ja-shortener

Sun, 01 Jan 2023 00:00:00 +0000

Monté ja-shortener porque me negaba a depender de Bitly para algo tan trivial como acortar una URL.

Es un acortador propio, autoalojado. Sin terceros, sin rastreos, sin cuotas de API que aparecen a final de mes. Funciona y no da problemas.

+43 estrellas en GitHub.

Tu DevOp me da trabajo: Soy auditor de seguridad

Sun, 01 Nov 2015 00:00:00 +0000

La relación amor-odio entre DevOps y Security.

De qué va

Título provocador para una charla necesaria: cómo la revolución DevOps está introduciendo nuevos problemas de seguridad.

En esta charla cubrimos:

Errores comunes de seguridad en cultura DevOps
Contenedores inseguros
Secretos en variables de entorno
Pipelines sin controles de seguridad
Cómo hacer DevSecOps bien

Por qué es relevante

En 2015, DevOps estaba en pleno boom. Todos querían desplegar rápido. Nadie pensaba en seguridad.

RSM - Redis Security Map

Sat, 01 Jan 2022 00:00:00 +0000

RSM (Redis Security Map) es una herramienta de seguridad para Redis.

El problema habitual: Redis desplegado con configuración por defecto, puerto abierto, sin autenticación, esperando a que alguien lo encuentre con un escaneo básico. RSM detecta esas configuraciones y bloquea los intentos de acceso antes de que lleguen a nada.

+31 estrellas en GitHub.

EasyLogs

Sat, 01 Jan 2022 00:00:00 +0000

EasyLogs es un panel para ver logs en tiempo real sin montar nada grande.

Lo escribí porque cada vez que quería mirar los logs de un servicio pequeño acababa levantando Kibana, Graylog o algo parecido, y perdía la tarde configurándolo para ver cuatro líneas. Quería algo que se levantara con un docker run y sirviera para lo que hace falta el 90 % de las veces: ver qué está pasando ahora mismo.

wordpress-docker-sec

Fri, 01 Jan 2021 00:00:00 +0000

WordPress se configura de una forma y se ataca de otra. Este repositorio despliega en Docker las herramientas que uso para auditar y endurecer instalaciones: nmap, wpscan, plecost.

Nada nuevo, pero tenerlo listo y automatizado ahorra tiempo cada vez.

+13 estrellas en GitHub.

LAPIS

Fri, 20 Feb 2026 00:00:00 +0000

LAPIS (Lightweight API Specification for Intelligent Systems) es un formato de especificación de APIs diseñado para LLMs, no para generadores de código.

OpenAPI sirve bien para documentación y herramientas. Cuando lo usa un LLM, consume tokens que no añaden información. LAPIS recorta ese overhead: 85.5% menos tokens que OpenAPI YAML, 88.6% menos que JSON, medido en APIs reales de GitHub, Twilio y DigitalOcean.

Incluye manejo de errores centralizado, webhooks, rate limiting y flujos de operaciones. Se convierte desde OpenAPI 3.x con un conversor automático. Publicado como especificación abierta bajo CC BY 4.0.

nginx-wordpress-docker-sec

Fri, 01 Jan 2021 00:00:00 +0000

La versión de wordpress-docker-sec centrada en Nginx. Mismas herramientas de auditoría, pero con el hardening aplicado a nivel de servidor web en lugar de a la aplicación.

Los dos repos juntos cubren bastante del perímetro habitual de un WordPress en producción.

+12 estrellas en GitHub.

realtime-redis-backup

Sat, 01 Jan 2022 00:00:00 +0000

realtime-redis-backup hace copias de seguridad de Redis a S3 de forma continua usando asyncio, sin bloquear nada.

Lo construí porque quería backups sin tener que parar Redis ni montar réplicas para eso. Configurable en frecuencia, compresión y retención.

+11 estrellas en GitHub.