El sanitizer default de Spring Boot enmascara password, secret y token. Pero si tu equipo llama a las cosas distinto, /actuator/env las muestra en texto plano. Acá el criterio para cerrar esa brecha sin apagar el endpoint.
11 sept 2026 · 7′ · Tutoriales · spring-boot · java
Spring Boot Actuator expone por defecto más de lo que la mayoría de los equipos se imagina. La diferencia entre un endpoint útil para monitoreo y un mapa de variables de entorno para un atacante está en una decisión que casi nadie toma explícitamente: allowlist versus deshabilitar lo que parece obvio.
23 ago 2026 · 8′ · Tutoriales · spring-boot · java
JWT stateless no es la respuesta universal que los tutoriales prometen. Si tu sistema necesita revocación inmediata o auditoría fina, el estado no es el enemigo — es la solución. Acá el framework de decisión que uso en sistemas de identidad reales.
18 ago 2026 · 9′ · Tutoriales · seguridad · JWT
Actuator no es el problema. El problema es habilitarlo sin una política clara de exposición. Una guía prudente para usarlo como herramienta operativa sin convertirlo en superficie pública innecesaria.
17 jun 2026 · 8′ · Tutoriales · devops · backend
Cerrar los endpoints de Actuator no alcanza. Después del incidente, reconstruí el modelo de autorización desde cero: SecurityFilterChain explícito, health groups separados, roles para /metrics y /env, y validación real con curl. Esto es lo que quedó en pie.
12 may 2026 · 7′ · Experimentos · devops · backend
Después de publicar el análisis de Jakarta EE vs Spring Boot, revisé los defaults de Actuator en un backend propio y encontré endpoints sensibles abiertos que nunca configuré conscientemente. Acá está el checklist de hardening que armé después.
11 may 2026 · 7′ · Experimentos · devops · backend
Arquitectura, sistemas reales, decisiones de producto y aprendizajes técnicos. Todo revisado con criterio propio antes de publicarse.
229 artículos publicados