Cómo usar esta guía

La seguridad suele enseñarse como una lista de reglas (“activa esto”, “nunca hagas aquello”). Aquí la vamos a enseñar como un sistema que puedes razonar: cada decisión que toma tu aplicación —dejar pasar una petición, rechazarla con 401, con 403— tiene una causa concreta que puedes encontrar.

Dos rutas, un mismo objetivo

La guía tiene dos partes que se leen en orden:

1. Parte 1Fundamentos de seguridadamenazas, identidad, contraseñas, criptografía, cookies y tokens, vulnerabilidades web, validación de entrada, CORS, OAuth2, abuso de APIs, secretos y cadena de suministro
3. Parte 2Spring Security 7filtros, configuración, autenticación, credenciales, sesiones, autorización, JWT, OAuth2, microservicios, WebFlux, MFA, testing, producción

Primero los conceptos que no dependen de ningún framework; después, cómo los implementa Spring Security.

Si ya sabes qué es un hash con sal, una cookie HttpOnly o un ataque CSRF, puedes saltar directamente a la parte 2. Cada lección de Spring enlaza a los fundamentos que necesita, así que siempre puedes volver.

La anatomía de una lección

Todas las lecciones siguen la misma estructura, para que sepas qué esperar:

1. Analogíael concepto en el mundo real
3. Cómo funcionael mecanismo, con diagramas
5. Códigosintaxis actual, comentada
7. Trampaslo que sale mal en proyectos reales
9. Mini labun reto con respuesta

Estos son los bloques que verás:

Analogía

El hotel

Las analogías traducen un concepto abstracto a algo que ya entiendes. La tabla de abajo te dice qué pieza del mundo real corresponde a qué pieza de tu sistema.

En el mundo realEn tu sistema

Recepción comprueba tu DNIAutenticación

Tu tarjeta abre solo tu habitaciónAutorización

Idea clave

Las ideas clave son las frases que conviene recordar aunque olvides el resto de la lección.

Trampa común

Copiar configuración sin entenderla

Las trampas describen errores frecuentes: qué síntoma producen, por qué ocurren y cómo se corrigen. La mayoría de agujeros de seguridad en proyectos reales vienen de aquí, no de fallos del framework.

Código que explica su propio vocabulario

Todo el código usa la sintaxis actual de Spring Security 7. Pasa el cursor por los términos subrayados para ver qué significan, a qué clase pertenecen, desde qué versión existen y un enlace a su documentación oficial. En móvil, tócalos.

SecurityConfig.java

@Configuration
@EnableWebSecurity
class SecurityConfig {

    @Bean
    SecurityFilterChain api(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/public/**").permitAll()
                .anyRequest().authenticated())
            .httpBasic(Customizer.withDefaults());
        return http.build();
    }
}

Lo mismo funciona con el código dentro del texto, como SecurityFilterChain o @PreAuthorize, y con cabeceras HTTP como WWW-Authenticate. La lista completa de términos está en el glosario.

Versiones de referencia

Pieza	Versión	Nota
Java	25 (LTS)	Versión recomendada. Spring Boot 4 exige Java 17 como mínimo y Java 21 también vale; lo nuevo de Java 25 está en Java 25 y la seguridad
Spring Boot	4.1.x	starters renombrados: spring-boot-starter-webmvc, spring-boot-starter-security-oauth2-resource-server…
Spring Security	7.1.x	código verificado contra la API de la 7.1.2
Spring Authorization Server	incluido en Spring Security 7	ya no es un proyecto aparte

Trampa común

Tutoriales viejos

Si vienes de tutoriales de Spring Security 5 o 6, mucho del código que circula en internet ya no compila: WebSecurityConfigurerAdapter, .and(), authorizeRequests() o AntPathRequestMatcher desaparecieron. La lección Lo nuevo de Spring Security 7 tiene la tabla completa de equivalencias.

El proyecto de ejemplo

Los ejemplos de Spring giran alrededor de una misma API pequeña: una API de notas personales. Cada nota tiene un dueño; un usuario normal solo ve y edita las suyas; un administrador puede listarlas todas. Es pequeña a propósito: toda la complejidad está en la seguridad, no en el dominio.

Si quieres seguir los mini labs en tu máquina, crea el proyecto en start.spring.io con Spring Boot 4.1, Java 25 y estas dependencias: Spring Web, Spring Security, Spring Data JPA, H2 Database y Validation. Y desde el primer día, activa el log que explica cada decisión de seguridad:

application.properties

logging.level.org.springframework.security=TRACE

Idea clave

Spring Security nunca pone la razón de un 401 o un 403 en la respuesta (para no darle pistas a un atacante). El log TRACE es donde vas a leer por qué te rechazó.

Mini lab · 10 min

Prepara tu laboratorio

Marcar como completado

Objetivo: Tener un proyecto Spring Boot 4 con seguridad activa y el log de seguridad visible.

1. Genera el proyecto con las dependencias de arriba y arráncalo sin escribir ninguna clase de configuración.
2. Busca en el log de arranque la línea Using generated security password.
3. Ejecuta curl -i http://localhost:8080/ y fíjate en el código de respuesta y en sus cabeceras.

¿Qué código devuelve la petición sin credenciales y qué cabecera te dice cómo autenticarte?

Pista

Busca una cabecera que empiece por WWW-.

Mostrar respuestaOcultar respuesta

Devuelve 401 Unauthorized con la cabecera WWW-Authenticate: Basic realm="Realm". Con solo añadir el starter de seguridad, Spring Boot protege todas las URLs, crea un usuario user con contraseña aleatoria y activa HTTP Basic y form login. Es secure by default: el framework empieza cerrado y eres tú quien abre.

Con curl -i -u user:<contraseña-del-log> http://localhost:8080/ pasarás la autenticación (y verás un 404, porque aún no hay ningún controlador: la seguridad ya te dejó pasar).

En resumen

• Primero fundamentos (independientes del framework), después Spring Security 7.
• Cada lección: analogía → mecanismo → código → trampas → mini lab.
• Pasa el cursor por el código subrayado para ver qué significa cada término.
• Activa logging.level.org.springframework.security=TRACE en desarrollo.