Backend
10 artículos
- czCZAY.DEVES4 MINBACKEND#BackendVOL. 2026 // #2338
Cortando el ruido: ¿qué lenguaje y framework de backend deberías elegir en 2026?
PHP, Python, C#, Node.js, Ruby, Go... y además Next.js, Express, Laravel, .NET, Django y Flask. Para quien empieza hoy con el backend, el ecosistema abruma. Aquí tienes un marco pragmático, basado en objetivos, para elegir tu stack.
25 de octubre de 2026 · 4 min de lecturaLeer - czCZAY.DEVES4 MINGÜVENLIK#GüvenlikVOL. 2026 // #2AD7
Dentro de PHP CVE-2026-115560: el desajuste entre Session Upload Progress y el serialize handler
Más allá del clickbait sobre el aviso CVE-2026-115560 de PHP (CVSS 6.4): cómo los cambios en tiempo de ejecución de session.serialize_handler chocan con session.upload_progress y provocan PHP Object Injection, y la mitigación de una línea en php.ini.
24 de octubre de 2026 · 4 min de lecturaLeer - czCZAY.DEVES3 MINGÜVENLIK#GüvenlikVOL. 2026 // #C61D
¿Qué es una vulnerabilidad IDOR? Autenticación vs. autorización y cómo prevenir BOLA
Si al cambiar /invoices/1042 por /invoices/1043 en la URL ves la factura privada de otro cliente, tu backend sufre IDOR (Broken Object Level Authorization), la vulnerabilidad n.º 1 del OWASP API Security Top 10.
24 de octubre de 2026 · 3 min de lecturaLeer - czCZAY.DEVES3 MINGÜVENLIK#GüvenlikVOL. 2026 // #1B02
¿Qué es un CVE y qué significa realmente una puntuación CVSS de 10.0?
Cada semana ves alertas de Dependabot y titulares con identificadores CVE y puntuaciones CVSS como 9.8 o 10.0. Así funciona el sistema global de seguimiento de vulnerabilidades y la fórmula matemática exacta detrás de un fallo crítico de 10.0.
23 de octubre de 2026 · 3 min de lecturaLeer - czCZAY.DEVES4 MINSISTEM MIMARISI#Sistem MimarisiVOL. 2026 // #10EC
¡El usuario pulsó «Pagar» 3 veces! Diseño de Idempotency Keys en sistemas de pago
Un usuario con una conexión móvil inestable pulsa «Pagar ahora» tres veces y le cobran tres veces el mismo pedido. Por qué no basta con deshabilitar el botón en el frontend y cómo los backends al nivel de Stripe garantizan la ejecución exactly-once con Idempotency Keys.
23 de octubre de 2026 · 4 min de lecturaLeer - czCZAY.DEVES7 MINGÜVENLIK#GüvenlikVOL. 2026 // #9C6C
Alerta roja en el backend: vulnerabilidades RCE críticas en PHP, Node.js y Java (análisis de CVE)
Una oleada de vulnerabilidades críticas (CVSS 9.8+) golpea los pilares de los backends modernos: PHP, Node.js y Java. Un análisis técnico en profundidad de los exploits de ejecución remota de código (RCE) y las medidas de mitigación inmediatas.
23 de octubre de 2026 · 7 min de lecturaLeer - czCZAY.DEVES3 MINDATABASE INTERNALS#VeritabanıVOL. 2026 // #2C8A
El asesino de bases de datos: qué es el problema de las consultas N+1 y cómo resolverlo con eager loading
Un código que se ejecuta en 5 ms en tu portátil con 3 filas de prueba puede tumbar fácilmente tu servidor PostgreSQL de producción al listar 100 pedidos. Así se produce la trampa de las consultas N+1 en los ORM modernos y cómo solucionarla con una sola línea.
20 de octubre de 2026 · 3 min de lecturaLeer - czCZAY.DEVES4 MINAĞ & PROTOKOLLER#Ağ & ProtokollerVOL. 2026 // #2003
¿Qué es SMTP? Cómo viaja un correo por internet (guía de MX, SPF, DKIM y DMARC)
¿Qué ocurre en los milisegundos posteriores a que tu backend dispara un correo de restablecimiento de contraseña? Desde los relays SMTP y las consultas DNS MX hasta la trinidad criptográfica (SPF, DKIM, DMARC) que mantiene tus correos transaccionales fuera de la carpeta de spam.
18 de octubre de 2026 · 4 min de lecturaLeer - czCZAY.DEVES6 MINSISTEM MIMARISI#Sistem MimarisiVOL. 2026 // #1157
Por qué no deberías usar Kafka ni microservicios en proyectos pequeños (sobreingeniería)
Desplegar Kubernetes, Kafka y 10 microservicios para una app con 100 usuarios al día no es previsión de ingeniería, es un suicidio por sobreingeniería. Aquí tienes un marco de decisión pragmático, basado en el tráfico, para saber cuándo y cómo escalar de verdad.
17 de octubre de 2026 · 6 min de lecturaLeer - czCZAY.DEVES2 MINSECURITY & AUTH#APIVOL. 2026 // #2AD8
JWT no está cifrado, es solo Base64
¿Quién puede ver lo que hay dentro del token JWT que se envía en cada solicitud de tu app? Respuesta: cualquiera. Qué guardan realmente los tokens, por qué basta con verificar la firma y 4 cosas que nunca debes poner en el payload.
15 de septiembre de 2026 · 2 min de lecturaLeer