AppSec Lab DEMO
Entrar Crear cuenta

OWASP Top 10:2025

Aprende a romper código. Y a arreglarlo.

309 lecciones interactivas en 18 tecnologías. Pruebas el ataque en un simulador, encuentras la línea vulnerable y eliges cómo arreglarla.

Empieza gratis Cómo funciona
Inyección SQL en un buscador de usuarios · PHP
  1. 1. Entrada del atacante ' OR '1'='1
  2. 2. El código la concatena … WHERE name = '' OR '1'='1'
  3. 3. Resultado La consulta devuelve todos los usuarios.

Vulnerable

12$q = $_GET['name'];13$sql = "SELECT * FROM users14  WHERE name = '$q'";15$rows = $db->query($sql);

Corregido

13$st = $db->prepare('… name = ?');14$st->execute([$q]);
lecciones
309
categorías OWASP
10
tecnologías
18
laboratorios finales
10

Cuatro pasos. Cada lección.

El mismo recorrido para cada vulnerabilidad, de la entrada al arreglo. Sin horas de teoría antes de tocar nada.

  1. 1

    Entiende

    Un caso real y una viñeta explican qué pasó y por qué.

  2. 2

    Pruébalo

    Escribe una entrada en el simulador y mira el código vulnerable y el corregido.

  3. 3

    Practica

    Ejercicios de un minuto: señala la línea, ordena los pasos, elige el arreglo. Ganas XP.

  4. 4

    Demuéstralo

    Cada categoría termina con un cuestionario con tiempo y un laboratorio final.

Todo lo que necesitas para aprender en serio

Laboratorios finales

10 tiendas, apps y paneles inventados. Exploras, encuentras el fallo y recibes un informe de lo que has hecho.

  • TecShop
  • LaCesta
  • Cometa
  • Cuadra
  • y 6 más

100 % simulado

No se ejecuta SQL, ni comandos, ni peticiones de red. Practicas sin miedo a romper nada.

Repaso espaciado

Lo que fallas vuelve mañana. Lo que aciertas, cada vez más tarde.

Rutas por rol

Primeros pasos en AppSec, Backend PHP, Frontend, HTTP y navegador, Navegador avanzado, Identidad y sesiones, Java y Spring, Mainframe COBOL, Ejecución remota de código en el servidor, DevOps y CI/CD, Nube y cadena de suministro, Equipos con IA, Agentes, MCP y modelos en producción, APIs y lógica de negocio, Inyección más allá de SQLi, Cadenas de vulnerabilidades.

Mapa de competencias

Una prueba de nivel y un informe que te enseña dónde eres fuerte y qué te conviene repasar.

El temario

Crea tu cuenta para empezar
  • A01 Broken Access Control 63 lecciones
  • A02 Security Misconfiguration 46 lecciones
  • A03 Software Supply Chain Failures 29 lecciones
  • A04 Cryptographic Failures 17 lecciones
  • A05 Injection 76 lecciones
  • A06 Insecure Design 44 lecciones
  • A07 Authentication Failures 50 lecciones
  • A08 Software or Data Integrity Failures 34 lecciones
  • A09 Security Logging and Alerting Failures 13 lecciones
  • A10 Mishandling of Exceptional Conditions 8 lecciones

Además: OWASP API Security Top 10 y OWASP Top 10 para aplicaciones LLM, en Python, JavaScript, PHP, Java, HTML, CSS, JSON, SQL, COBOL, CI/CD, IA generativa (LLM), Logs y alertas, Modelado de amenazas, HTTP y web, Identidad y sesiones, Contenedores y Kubernetes, Nube (IAM, almacenamiento, metadatos), Formación general en IA.

Para ti. Y para tu equipo.

Tu cuenta

Tu progreso, siempre contigo

  • Ejercicios resueltos, XP, rango y racha diaria
  • Insignias y tablero de retos con estrellas
  • Repaso de lo que fallaste y reto del día
  • Informe de competencias que puedes imprimir

Solo pedimos un nombre de usuario y una contraseña.

Crear cuenta

Para formadores

Tu equipo, bajo control

  • Activa solo los cursos que toca este mes
  • Abre o cierra las altas de cuentas
  • Sigue el avance de cada persona
  • Consulta el registro de actividad con filtros

El panel de administración lo activa quien instala la plataforma, desde el servidor.

Tu primera vulnerabilidad, en cinco minutos

Sin correo ni datos personales: un usuario, una contraseña y a practicar.

Empieza gratis Ya tengo cuenta