Lista de Verificación para Manejar todos los Errores y Excepciones
4.2.10 Lista de Verificación: Manejar todos los Errores y Excepciones
Manejar excepciones y errores correctamente es crítico para hacer que su código sea confiable y seguro. El manejo de errores y excepciones ocurre en todas las áreas de una aplicación, incluyendo la lógica crítica del negocio así como las características de seguridad y el código del framework.
Consulte el control proactivo C3: Validar todas las Entradas y Manejar Excepciones y sus hojas de referencia para obtener más contexto del proyecto OWASP Top 10 Controles Proactivos, y utilice la lista a continuación como sugerencias para una lista de verificación adaptada para el proyecto individual.
1. Errores y excepciones
- Gestionar las excepciones de manera centralizada para evitar bloques try/catch duplicados en el código
- Asegurar que todo comportamiento inesperado se maneje correctamente dentro de la aplicación
- Asegurar que los mensajes de error mostrados a los usuarios no filtren datos críticos, pero que sean lo suficientemente detallados para permitir la respuesta adecuada del usuario
- Asegurar que los registros de excepciones proporcionen información suficiente para los equipos de soporte, control de calidad, forense o respuesta a incidentes
- Probar y verificar cuidadosamente el código de manejo de errores
- No revelar información sensible en las respuestas de error, por ejemplo detalles del sistema, identificadores de sesión o información de la cuenta
- Utilizar manejadores de errores que no muestren información de depuración o de seguimiento de pila
- Implementar mensajes de error genéricos y utilizar páginas de error personalizadas
- La aplicación debe manejar los errores de la aplicación y no depender de la configuración del servidor
- Liberar adecuadamente la memoria asignada cuando ocurran condiciones de error
- La lógica de manejo de errores asociada con los controles de seguridad debe denegar el acceso por defecto
Referencias
- Guía de Revisión de Código: Manejo de Errores de OWASP
- Manejo Inadecuado de Errores de OWASP
- Top 10 Controles Proactivos de OWASP
Traducción de versión original en inglés.
La Guía para Desarrolladores OWASP es un esfuerzo comunitario; si hay algo que necesita cambiarse, cree un issue o edítelo en GitHub.
\newpage