django-seguridad

Mejores Prácticas de Seguridad en Django

Guía completa de seguridad para aplicaciones Django para proteger contra vulnerabilidades comunes.

Cuándo Activar

• Configurando autenticación y autorización en Django
• Implementando permisos y roles de usuario
• Configurando ajustes de seguridad para producción
• Revisando una aplicación Django en busca de problemas de seguridad
• Desplegando aplicaciones Django en producción

Configuraciones de Seguridad Principales

Configuración de Producción

# settings/production.py
import os

DEBUG = False  # CRÍTICO: Nunca usar True en producción

ALLOWED_HOSTS = os.environ.get('ALLOWED_HOSTS', '').split(',')

# Cabeceras de seguridad
SECURE_SSL_REDIRECT = True
SESSION_COOKIE_SECURE = True
CSRF_COOKIE_SECURE = True
SECURE_HSTS_SECONDS = 31536000  # 1 año
SECURE_HSTS_INCLUDE_SUBDOMAINS = True
SECURE_HSTS_PRELOAD = True
SECURE_CONTENT_TYPE_NOSNIFF = True
SECURE_BROWSER_XSS_FILTER = True
X_FRAME_OPTIONS = 'DENY'

# HTTPS y Cookies
SESSION_COOKIE_HTTPONLY = True
CSRF_COOKIE_HTTPONLY = True
SESSION_COOKIE_SAMESITE = 'Lax'
CSRF_COOKIE_SAMESITE = 'Lax'

# Clave secreta (debe establecerse mediante variable de entorno)
SECRET_KEY = os.environ.get('DJANGO_SECRET_KEY')
if not SECRET_KEY:
    raise ImproperlyConfigured('Se requiere la variable de entorno DJANGO_SECRET_KEY')

# Validación de contraseñas
AUTH_PASSWORD_VALIDATORS = [
    {
        'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',
        'OPTIONS': {
            'min_length': 12,
        }
    },
    {
        'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',
    },
    {
        'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',
    },
]

Autenticación

Modelo de Usuario Personalizado

# apps/users/models.py
from django.contrib.auth.models import AbstractUser
from django.db import models

class User(AbstractUser):
    """Modelo de usuario personalizado para mayor seguridad."""

    email = models.EmailField(unique=True)
    phone = models.CharField(max_length=20, blank=True)

    USERNAME_FIELD = 'email'  # Usar email como nombre de usuario
    REQUIRED_FIELDS = ['username']

    class Meta:
        db_table = 'users'
        verbose_name = 'Usuario'
        verbose_name_plural = 'Usuarios'

    def __str__(self):
        return self.email

# settings/base.py
AUTH_USER_MODEL = 'users.User'

Hash de Contraseñas

# Django usa PBKDF2 por defecto. Para mayor seguridad:
PASSWORD_HASHERS = [
    'django.contrib.auth.hashers.Argon2PasswordHasher',
    'django.contrib.auth.hashers.PBKDF2PasswordHasher',
    'django.contrib.auth.hashers.PBKDF2SHA1PasswordHasher',
    'django.contrib.auth.hashers.BCryptSHA256PasswordHasher',
]

Gestión de Sesiones

# Configuración de sesión
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # O 'db'
SESSION_CACHE_ALIAS = 'default'
SESSION_COOKIE_AGE = 3600 * 24 * 7  # 1 semana
SESSION_SAVE_EVERY_REQUEST = False
SESSION_EXPIRE_AT_BROWSER_CLOSE = False  # Mejor UX, pero menos seguro

Autorización

Permisos

# models.py
from django.db import models
from django.contrib.auth.models import Permission

class Post(models.Model):
    title = models.CharField(max_length=200)
    content = models.TextField()
    author = models.ForeignKey(User, on_delete=models.CASCADE)

    class Meta:
        permissions = [
            ('can_publish', 'Puede publicar entradas'),
            ('can_edit_others', 'Puede editar entradas de otros'),
        ]

    def user_can_edit(self, user):
        """Verificar si el usuario puede editar esta entrada."""
        return self.author == user or user.has_perm('app.can_edit_others')

# views.py
from django.contrib.auth.mixins import LoginRequiredMixin, PermissionRequiredMixin
from django.views.generic import UpdateView

class PostUpdateView(LoginRequiredMixin, PermissionRequiredMixin, UpdateView):
    model = Post
    permission_required = 'app.can_edit_others'
    raise_exception = True  # Devolver 403 en lugar de redirigir

    def get_queryset(self):
        """Solo permitir a los usuarios editar sus propias entradas."""
        return Post.objects.filter(author=self.request.user)

Permisos Personalizados

# permissions.py
from rest_framework import permissions

class IsOwnerOrReadOnly(permissions.BasePermission):
    """Permitir solo a los propietarios editar objetos."""

    def has_object_permission(self, request, view, obj):
        # Permisos de lectura permitidos para cualquier solicitud
        if request.method in permissions.SAFE_METHODS:
            return True

        # Permisos de escritura solo para el propietario
        return obj.author == request.user

class IsAdminOrReadOnly(permissions.BasePermission):
    """Permitir a los administradores hacer cualquier cosa, otros solo lectura."""

    def has_permission(self, request, view):
        if request.method in permissions.SAFE_METHODS:
            return True
        return request.user and request.user.is_staff

class IsVerifiedUser(permissions.BasePermission):
    """Permitir solo a usuarios verificados."""

    def has_permission(self, request, view):
        return request.user and request.user.is_authenticated and request.user.is_verified

Control de Acceso Basado en Roles (RBAC)

# models.py
from django.contrib.auth.models import AbstractUser, Group

class User(AbstractUser):
    ROLE_CHOICES = [
        ('admin', 'Administrador'),
        ('moderator', 'Moderador'),
        ('user', 'Usuario Regular'),
    ]
    role = models.CharField(max_length=20, choices=ROLE_CHOICES, default='user')

    def is_admin(self):
        return self.role == 'admin' or self.is_superuser

    def is_moderator(self):
        return self.role in ['admin', 'moderator']

# Mixins
class AdminRequiredMixin:
    """Mixin para requerir rol de administrador."""

    def dispatch(self, request, *args, **kwargs):
        if not request.user.is_authenticated or not request.user.is_admin():
            from django.core.exceptions import PermissionDenied
            raise PermissionDenied
        return super().dispatch(request, *args, **kwargs)

Prevención de Inyección SQL

Protección con ORM de Django

# BIEN: El ORM de Django escapa parámetros automáticamente
def get_user(username):
    return User.objects.get(username=username)  # Seguro

# BIEN: Usar parámetros con raw()
def search_users(query):
    return User.objects.raw('SELECT * FROM users WHERE username = %s', [query])

# MAL: Nunca interpolar directamente la entrada del usuario
def get_user_bad(username):
    return User.objects.raw(f'SELECT * FROM users WHERE username = {username}')  # ¡VULNERABLE!

# BIEN: Usar filter con escape adecuado
def get_users_by_email(email):
    return User.objects.filter(email__iexact=email)  # Seguro

# BIEN: Usar objetos Q para consultas complejas
from django.db.models import Q
def search_users_complex(query):
    return User.objects.filter(
        Q(username__icontains=query) |
        Q(email__icontains=query)
    )  # Seguro

Seguridad Adicional con raw()

# Si debe usar SQL sin formato, siempre use parámetros
User.objects.raw(
    'SELECT * FROM users WHERE email = %s AND status = %s',
    [user_input_email, status]
)

Prevención de XSS

Escape en Plantillas

{# Django escapa automáticamente las variables por defecto - SEGURO #}
{{ user_input }}  {# HTML escapado #}

{# Marcar explícitamente como seguro solo para contenido confiable #}
{{ trusted_html|safe }}  {# No escapado #}

{# Usar filtros de plantilla para HTML seguro #}
{{ user_input|escape }}  {# Igual que el predeterminado #}
{{ user_input|striptags }}  {# Eliminar todas las etiquetas HTML #}

{# Escape para JavaScript #}
<script>
    var username = {{ username|escapejs }};
</script>

Manejo Seguro de Cadenas

from django.utils.safestring import mark_safe
from django.utils.html import escape

# MAL: Nunca marcar la entrada del usuario como segura sin escapar
def render_bad(user_input):
    return mark_safe(user_input)  # ¡VULNERABLE!

# BIEN: Escapar primero, luego marcar como seguro
def render_good(user_input):
    return mark_safe(escape(user_input))

# BIEN: Usar format_html para HTML con variables
from django.utils.html import format_html

def greet_user(username):
    return format_html('<span class="user">{}</span>', escape(username))

Cabeceras HTTP

# settings.py
SECURE_CONTENT_TYPE_NOSNIFF = True  # Prevenir olfateo MIME
SECURE_BROWSER_XSS_FILTER = True  # Habilitar filtro XSS
X_FRAME_OPTIONS = 'DENY'  # Prevenir clickjacking

# Middleware personalizado
from django.conf import settings

class SecurityHeaderMiddleware:
    def __init__(self, get_response):
        self.get_response = get_response

    def __call__(self, request):
        response = self.get_response(request)
        response['X-Content-Type-Options'] = 'nosniff'
        response['X-Frame-Options'] = 'DENY'
        response['X-XSS-Protection'] = '1; mode=block'
        response['Content-Security-Policy'] = "default-src 'self'"
        return response

Protección CSRF

Protección CSRF Predeterminada

# settings.py - CSRF está habilitado por defecto
CSRF_COOKIE_SECURE = True  # Enviar solo sobre HTTPS
CSRF_COOKIE_HTTPONLY = True  # Prevenir acceso desde JavaScript
CSRF_COOKIE_SAMESITE = 'Lax'  # Prevenir CSRF en algunos casos
CSRF_TRUSTED_ORIGINS = ['https://example.com']  # Dominios confiables

# Uso en plantillas
<form method="post">
    {% csrf_token %}
    {{ form.as_p }}
    <button type="submit">Enviar</button>
</form>

# Solicitudes AJAX
function getCookie(name) {
    let cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        const cookies = document.cookie.split(';');
        for (let i = 0; i < cookies.length; i++) {
            const cookie = cookies[i].trim();
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}

fetch('/api/endpoint/', {
    method: 'POST',
    headers: {
        'X-CSRFToken': getCookie('csrftoken'),
        'Content-Type': 'application/json',
    },
    body: JSON.stringify(data)
});

Eximir Vistas (Usar con Cuidado)

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt  # ¡Usar solo cuando sea absolutamente necesario!
def webhook_view(request):
    # Webhook desde servicio externo
    pass

Seguridad en Subida de Archivos

Validación de Archivos

import os
import magic  # pip install python-magic
from django.core.exceptions import ValidationError

ALLOWED_MIMES = {
    'image/jpeg', 'image/png', 'image/gif', 'application/pdf',
}

MIME_TO_EXTENSIONS = {
    'image/jpeg': {'.jpg', '.jpeg'},
    'image/png': {'.png'},
    'image/gif': {'.gif'},
    'application/pdf': {'.pdf'},
}

def validate_file_type(value):
    """Validar tipo de archivo usando bytes mágicos y verificar extensión."""
    mime = magic.from_buffer(value.read(2048), mime=True)
    value.seek(0)

    if mime not in ALLOWED_MIMES:
        raise ValidationError('Tipo de archivo no soportado.')

    ext = os.path.splitext(value.name)[1].lower()
    if ext not in MIME_TO_EXTENSIONS.get(mime, set()):
        raise ValidationError('La extensión del archivo no coincide con el contenido.')

def validate_file_size(value):
    """Validar tamaño del archivo (máx. 5MB)."""
    if value.size > 5 * 1024 * 1024:
        raise ValidationError('Archivo demasiado grande. El tamaño máximo es 5MB.')

# models.py
class Document(models.Model):
    file = models.FileField(
        upload_to='documents/',
        validators=[validate_file_type, validate_file_size]
    )

Para entornos donde instalar libmagic es difícil (por ejemplo, contenedores mínimos), use el paquete filetype en Python puro como alternativa:

import os
from django.core.exceptions import ValidationError

import filetype  # pip install filetype

ALLOWED_MIMES = {
    'image/jpeg', 'image/png', 'image/gif', 'application/pdf',
}

MIME_TO_EXTENSIONS = {
    'image/jpeg': {'.jpg', '.jpeg'},
    'image/png': {'.png'},
    'image/gif': {'.gif'},
    'application/pdf': {'.pdf'},
}

def validate_file_type(value):
    """Validar tipo de archivo usando bytes mágicos."""
    kind = filetype.guess(value.read(2048))
    value.seek(0)

    if kind is None or kind.mime not in ALLOWED_MIMES:
        raise ValidationError('Tipo de archivo no soportado.')

    ext = os.path.splitext(value.name)[1].lower()
    if ext not in MIME_TO_EXTENSIONS.get(kind.mime, set()):
        raise ValidationError('La extensión del archivo no coincide con el contenido.')

Almacenamiento Seguro de Archivos

# settings.py
MEDIA_ROOT = '/var/www/media/'
MEDIA_URL = '/media/'

# Usar un dominio separado para medios en producción
MEDIA_DOMAIN = 'https://media.example.com'

# No servir las subidas de usuarios directamente
# Usar whitenoise o un CDN para archivos estáticos
# Usar un servidor separado o S3 para archivos multimedia

Seguridad en API

Limitación de Tasa

# settings.py
REST_FRAMEWORK = {
    'DEFAULT_THROTTLE_CLASSES': [
        'rest_framework.throttling.AnonRateThrottle',
        'rest_framework.throttling.UserRateThrottle'
    ],
    'DEFAULT_THROTTLE_RATES': {
        'anon': '100/day',
        'user': '1000/day',
        'upload': '10/hour',
    }
}

# Limitador personalizado
from rest_framework.throttling import UserRateThrottle

class BurstRateThrottle(UserRateThrottle):
    scope = 'burst'
    rate = '60/min'

class SustainedRateThrottle(UserRateThrottle):
    scope = 'sustained'
    rate = '1000/day'

Autenticación para APIs

# settings.py
REST_FRAMEWORK = {
    'DEFAULT_AUTHENTICATION_CLASSES': [
        'rest_framework.authentication.TokenAuthentication',
        'rest_framework.authentication.SessionAuthentication',
        'rest_framework_simplejwt.authentication.JWTAuthentication',
    ],
    'DEFAULT_PERMISSION_CLASSES': [
        'rest_framework.permissions.IsAuthenticated',
    ],
}

# views.py
from rest_framework.decorators import api_view, permission_classes
from rest_framework.permissions import IsAuthenticated

@api_view(['GET', 'POST'])
@permission_classes([IsAuthenticated])

def my_protected_view(request):
    # Tu lógica aquí
    pass

Despliegue Seguro

Configuración del Servidor

# Ejemplo de configuración nginx
server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /etc/ssl/certs/example.com.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;

    # Configuración SSL
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        proxy_pass http://127.0.0.1:8000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    location /static/ {
        alias /var/www/static/;
        expires 30d;
        add_header Cache-Control "public, immutable";
    }

    location /media/ {
        alias /var/www/media/;
        internal;  # No accesible externamente
    }
}

Variables de Entorno

# .env.production
DJANGO_SECRET_KEY=tu-clave-secreta-muy-larga-y-segura-aquí
DATABASE_URL=postgres://usuario:contraseña@localhost:5432/dbname
REDIS_URL=redis://localhost:6379/0
ALLOWED_HOSTS=example.com,www.example.com

Configuración de Docker

# Dockerfile.production
FROM python:3.11-slim

ENV PYTHONDONTWRITEBYTECODE=1 \
    PYTHONUNBUFFERED=1 \
    DJANGO_SETTINGS_MODULE=settings.production

WORKDIR /app

COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

COPY . .

RUN python manage.py collectstatic --noinput

RUN useradd -m -r appuser && chown -R appuser /app
USER appuser

CMD ["gunicorn", "config.wsgi:application", "--bind", "0.0.0.0:8000", "--workers", "4"]

Monitoreo y Logging

Configuración de Logging

# settings.py
LOGGING = {
    'version': 1,
    'disable_existing_loggers': False,
    'formatters': {
        'verbose': {
            'format': '{levelname} {asctime} {module} {process:d} {thread:d} {message}',
            'style': '{',
        },
        'simple': {
            'format': '{levelname} {message}',
            'style': '{',
        },
    },
    'handlers': {
        'console': {
            'class': 'logging.StreamHandler',
            'formatter': 'verbose',
        },
        'file': {
            'class': 'logging.handlers.RotatingFileHandler',
            'filename': '/var/log/django/security.log',
            'maxBytes': 1024 * 1024 * 10,  # 10MB
            'backupCount': 5,
            'formatter': 'verbose',
        },
        'mail_admins': {
            'class': 'django.utils.log.AdminEmailHandler',
            'level': 'ERROR',
        },
    },
    'loggers': {
        'django.security': {
            'handlers': ['file', 'mail_admins'],
            'level': 'WARNING',
            'propagate': True,
        },
        'django.request': {
            'handlers': ['file', 'mail_admins'],
            'level': 'ERROR',
            'propagate': False,
        },
        'custom.security': {
            'handlers': ['file'],
            'level': 'INFO',
            'propagate': True,
        },
    },
}

Herramientas de Seguridad

Linters y Escáneres

# Instalar herramientas de seguridad
pip install bandit safety django-secure

# Ejecutar bandit en el proyecto
bandit -r .

# Verificar dependencias
safety check

# Verificar configuraciones de seguridad de Django
django-secure-check

Dependencias Recomendadas

# requirements/security.txt
django-csp==3.7
python-magic==0.4.27
django-ratelimit==4.0.0
django-axes==5.40.0
django-secure==1.0.1

Mejores Prácticas Generales

1. Mantener Django actualizado: Usar siempre la última versión estable
2. Usar HTTPS: Obligar HTTPS en toda la aplicación
3. Validar entradas: Validar y sanitizar todas las entradas de usuario
4. Principio de mínimo privilegio: Otorgar solo los permisos necesarios
5. Auditar regularmente: Revisar registros y realizar análisis de seguridad
6. Respaldar datos: Realizar backups regulares de la base de datos
7. Usar WAF: Considerar un firewall de aplicaciones web
8. Monitorear: Implementar herramientas de monitoreo y alertas

Comandos Rápidos para Verificar Seguridad

# Verificar configuraciones
python manage.py check --deploy

# Verificar migraciones
python manage.py showmigrations

# Verificar usuarios y permisos
python manage.py shell -c "from django.contrib.auth.models import User; print(User.objects.count())"

# Verificar sesiones activas
python manage.py shell -c "from django.contrib.sessions.models import Session; print(Session.objects.count())"