Amazon
MCP Seguro
Guía práctica para quien construye servidores MCP en producción. Código, autenticación, permisos y lo que casi nadie hace bien.
Libros, charlas, investigación
Publicaciones
Aquí está lo que he escrito, contado y publicado.
Pongo los libros primero, luego las charlas y al final la investigación.
Libros
Amazon
¿Cuántas APIs tienes realmente?
La mitad de las organizaciones no sabe cuántas APIs tiene desplegadas. Cómo detectar y gestionar las que nadie documentó, con herramientas open source y de bajo coste. Para tech leads y arquitectos hartos de descubrir APIs sorpresa en producción.
ePub
Hacking y manipulación de paquetes IPv4 con SCAPY
Cómo se construye y manipula un paquete IPv4 a mano. Para quien quiere entender el protocolo. Recetas no trae.
Charlas
16charlas
8en RootedCON
2015la primera
RootedCON
2026
When MCP goes Wrong - Que MCP no rompa tu seguridad
Seguridad en Model Context Protocol (MCP): cómo los errores de diseño y de implementación pueden comprometer la infraestructura de una organización. Con Alfonso Muñoz
RootedCON
2026
MCP Enterprise Security: A Practical Architecture and Lessons to Avoid Being Pwned
Una arquitectura práctica de seguridad para MCP en empresa y lo que hemos aprendido para que no la comprometan. Con Alfonso Muñoz
RootedCON
2025
Censorship, privacy and the fine art of disappearing without trace
Técnicas de privacidad, censura, anonimato y criptografía robusta. Con el Dr. Alfonso Muñoz
Desde 2015
2024
2023
Navaja Negra
Protegiendo Código Fuente Python
Técnicas para proteger código fuente Python al publicarlo, desde las más sencillas hasta compilar un intérprete Python propio
Navaja Negra
Protege tu Python… porque si es tan malo como suena, mejor que nadie lo vea
Técnicas para proteger código Python, desde los métodos básicos hasta crear intérpretes de Python a medida
2022
PyConES
Asyncio en producción: lo que nadie te cuenta
Lo que he aprendido usando Python Asyncio en producción, procesando millones de eventos al día: lo bueno, lo malo y lo feo
RSA Conference
Spreading Application Security Ownership Across the Entire Organization
Cómo repartir la responsabilidad de la seguridad de aplicaciones por toda la organización, y no dejarla solo en el equipo de seguridad
2020
2018
2017
2016
OWASP Madrid
I Meetup OWASP Madrid
Charla técnica sobre seguridad en aplicaciones web en el primer meetup del capítulo de OWASP Madrid
RootedCON
Broker & MQ Injection
Presento el concepto de Broker Injection y Enteletaor, una herramienta para inyectar, extraer y modificar información de brokers como Redis, RabbitMQ o ZeroMQ
2015
Cybercamp
Python, Hacking y Sec-tools desde las Trincheras
Workshop técnico para construir herramientas de seguridad con Python, desde scripts básicos hasta herramientas profesionales
Codemotion
Tu DevOp me da trabajo: Soy auditor de seguridad
Cómo los DevOps están creando vectores de ataque nuevos y vulnerabilidades que luego nos toca arreglar a los auditores de seguridad
Papers
Investigación
2026
LAPIS: Lightweight API Specification for Intelligent Systems
Un formato nuevo para describir APIs pensado para LLMs. Gasta un 85.5% menos de tokens que OpenAPI YAML y un 88.6% menos que OpenAPI JSON, probado con APIs de GitHub, Twilio y DigitalOcean.
Leer el paper →
Investigación
2026
Slow JSON Stream: A Low-Bandwidth Denial-of-Service Attack Against HTTP APIs with JSON Request Bodies
Ataque DoS de poco ancho de banda contra APIs HTTP que aceptan cuerpos JSON. El atacante abre una conexión HTTP/1.1 chunked y envía un prefijo JSON válido a un byte por segundo, bloqueando el parser. 90% de los 41 targets evaluados son vulnerables con configuración por defecto.
Leer el paper →