CUMPLIMIENTO
Cada control, mapeado al marco que te piden.
Budger no es una certificación. Es un conjunto de controles con identificador propio, y cada uno está mapeado a los marcos que te exigen tus clientes, tu auditor o tu regulador. Filtra y mira tú mismo.
43 controles · 8 marcos · mapeado a, no certificado
OWASP ASVS 5.0 · 5.0.0
El estándar abierto para verificar la seguridad de una aplicación web.
Cada ID de ASVS citado existe en el archivo oficial de OWASP: lo comprueba una prueba automática en el código de Budger.
Verificado por prueba
43 controles · 43 mapeados a ASVS 5.0
| Control | Qué hace | Capa | ASVS 5.0 |
|---|---|---|---|
| BGR-IP-01core.clientIp | IP del cliente solo desde proxies de confianza | 01 · Protección | V15.3.4, V4.1.3 |
| BGR-HMAC-01core.hmac | Firmas HMAC con marca de tiempo y anti-replay | 01 · Protección | V4.1.5, V11.4.1, V11.2.4 |
| BGR-CMP-01core.safeEqual | Comparaciones de secretos en tiempo constante | 01 · Protección | V11.2.4 |
| BGR-KEY-01core.apiKeys | Llaves de API con hash, scopes y revocación | 01 · Protección | V13.2.1, V8.2.1, V11.5.1 |
| BGR-CRY-01core.secretBox | Cifrado autenticado AES-256-GCM con rotación por kid | 01 · Protección | V11.3.2, V11.3.3, V11.3.4, V11.2.2, V11.1.1 |
| BGR-CSRF-01core.csrf | Protección CSRF por cabecera o token ligado a sesión | 01 · Protección | V3.5.1, V3.5.3, V3.3.2 |
| BGR-RL-01core.rateLimit | Límite de peticiones por IP y por cuenta | 01 · Protección | V2.4.1, V6.3.1, V6.6.3, V15.2.2 |
| BGR-HDR-01core.headers | Cabeceras de seguridad HTTP (HSTS, nosniff, frame, referrer) | 01 · Protección | V3.4.1, V3.4.4, V3.4.5, V3.4.6, V13.4.6 |
| BGR-HDR-02core.headers | Content-Security-Policy | 01 · Protección | V3.4.3, V3.4.6, V3.4.7 |
| BGR-CORS-01core.cors | CORS con lista explícita, nunca * con credenciales | 01 · Protección | V3.4.2, V3.5.2 |
| BGR-IDEM-01core.idempotency | Idempotencia de operaciones con Idempotency-Key | 01 · Protección | V2.3.3, V2.3.4 |
| BGR-AUD-01core.audit | Bitácora de auditoría append-only | 05 · Monitoreo | V16.2.1, V16.3.1, V16.3.2, V16.3.3, V16.4.2 |
| BGR-LOG-01core.redact | Redacción de datos personales y secretos en logs y telemetría | 05 · Monitoreo | V16.2.5, V16.4.1, V14.2.3, V16.5.1 |
| BGR-SSRF-01core.ssrfGuard | Bloqueo de SSRF (redes privadas, metadata, rebinding) | 01 · Protección | V1.3.6, V13.2.4, V13.2.5, V15.3.2 |
| BGR-FILE-01core.fileGuard | Validación de archivos por magic bytes y tamaño | 01 · Protección | V5.2.1, V5.2.2 |
| BGR-BODY-01express | Límite de tamaño del cuerpo de las peticiones | 01 · Protección | V15.2.2, V15.1.3 |
| BGR-ENV-01core.env | Variables de entorno obligatorias validadas al arrancar | 01 · Protección | V13.1.4, V16.5.3 |
| BGR-EVT-01core.events | Eventos de seguridad limpios hacia la consola | 05 · Monitoreo | V16.3.3, V16.4.3, V16.2.2, V16.2.4 |
| BGR-OPS-01core | Fallo seguro: monitor ante fallo, apagado de emergencia registrado | 01 · Protección | V16.5.2, V16.5.3 |
| BGR-AUTH-SESSIONauth.sessions | Sesiones en cookie httpOnly con lista en servidor | 02 · Autenticación | V7.2.1, V7.2.3, V7.2.4, V7.3.1, V7.3.2, V7.4.1, V7.4.2, V3.3.1, V3.3.4, V14.3.3 |
| BGR-AUTH-PASSKEYauth.passkeys | Passkeys (WebAuthn) | 02 · Autenticación | V6.3.3, V6.7.2, V6.5.6 |
| BGR-AUTH-TOTPauth.totp | TOTP | 02 · Autenticación | V6.5.1, V6.5.3, V6.5.5, V6.5.8 |
| BGR-AUTH-OTPauth.otp | OTP por canal externo de un solo uso | 02 · Autenticación | V6.5.1, V6.5.4, V6.5.5, V6.6.1, V6.6.2, V6.6.3 |
| BGR-AUTH-STEPUPauth.stepUp | Step-up para operaciones de dinero | 02 · Autenticación | V7.5.3, V7.5.1 |
| BGR-AUTH-DEVICEauth.devices | Dispositivos de confianza revocables | 02 · Autenticación | V6.5.6, V7.5.2, V7.4.3 |
| BGR-AUTH-ATTEMPTSauth.attempts | Límite de intentos fallidos por cuenta e IP, con fallo cerrado | 02 · Autenticación | V6.3.1, V6.1.1 |
| BGR-NEXT-AUTHnext | Autorización repetida en el handler, no solo en proxy/middleware | 01 · Protección | V8.3.1, V8.2.1, V8.2.2 |
| BGR-NEXT-CSPnext | CSP con nonce por petición en proxy/middleware | 01 · Protección | V3.4.3, V3.4.6, V3.4.7 |
| BGR-NEXT-SUBREQUESTnext | Bloqueo de x-middleware-subrequest falsificado (CVE-2025-29927) | 01 · Protección | V8.3.1 |
| BGR-NEXT-ACTIONSnext | Peticiones de server action rechazadas si la app no tiene server actions | 01 · Protección | V8.3.1 |
| BGR-NEXT-CSRFnext | CSRF en route handlers que escriben | 01 · Protección | V3.5.1, V3.5.3, V3.3.2 |
| BGR-NEXT-RATELIMITnext | Límite de peticiones en route handlers y server actions | 01 · Protección | V2.4.1, V6.3.1, V6.6.3, V15.2.2 |
| BGR-NEXT-DISABLEDnext | Apagado de emergencia (BUDGER_DISABLED) registrado | 01 · Protección | V16.5.2, V16.5.3 |
| BGR-NEXT-INTERNALnext | Fallo interno de Budger en Next: falla segura y queda registrado | 01 · Protección | V16.5.2, V16.5.3, V16.5.4 |
| BGR-BAK-01backup | Respaldos cifrados y verificados por restauración | 04 · Respaldos | — (ASVS 5.0 no cubre respaldos) |
| BGR-LIC-01license | Licencias firmadas Ed25519 que nunca tumban la app | 01 · Protección | V11.6.1 |
| BGR-DEP-01cli.scan | Dependencias sin vulnerabilidades conocidas (OSV) | 03 · Escáner | V15.1.1, V15.2.1, V15.1.2 |
| BGR-SEC-01cli.scan | Sin secretos en el árbol de código | 03 · Escáner | V13.3.1 |
| BGR-SEC-02cli.scan | Sin secretos en la historia de git | 03 · Escáner | V13.3.1, V13.3.4 |
| BGR-SEC-03cli.scan | Sin secretos de respaldo escritos en código | 03 · Escáner | V13.3.1, V13.2.3 |
| BGR-SEC-04cli.scan | Sin archivos sensibles versionados (.env, llaves) | 03 · Escáner | V13.3.1 |
| BGR-TLS-01cli.scan | TLS vigente, certificado válido y redirección a HTTPS | 03 · Escáner | V12.1.1, V12.2.1, V12.2.2, V4.1.2 |
| BGR-BUILD-01cli.scan | El build no ignora errores de tipos ni de lint | 03 · Escáner | V15.3.5 |
Mapeado a, no certificado: esta tabla muestra qué requisito de cada marco ayuda a cubrir cada control. La auditoría o la certificación la hace un tercero independiente.
LOS MARCOS
Qué es cada uno y qué tan revisado está.
- Ley 1581 de 2012 arts. 4, 17 y 18
- Protección de datos personales en Colombia (habeas data).
- Mapeo a los principios del artículo 4 y a los deberes de los artículos 17 y 18. Pendiente de revisión jurídica.
- Superintendencia Financiera de Colombia CBJ · CE 007/2018 · CE 033/2020 (TUIC)
- Entidades vigiladas y sus proveedores de tecnología.
- Se cita el capítulo, no el numeral: los numerales están pendientes. Cada evento de Budger puede llevar su categoría de la Taxonomía Única de Incidentes (TUIC).
- PCI DSS 4.0.1 · SAQ A 4.0.1
- Comercios que cobran con tarjeta a través de una pasarela alojada, como Wompi.
- Si cobras con el checkout o el widget de Wompi, los datos de la tarjeta no pasan por tu servidor y tu cuestionario es el SAQ A. Verificar contra el SAQ A vigente: la revisión de enero de 2025 cambió sus requisitos.
- OWASP ASVS 5.0 5.0.0
- El estándar abierto para verificar la seguridad de una aplicación web.
- Cada ID de ASVS citado existe en el archivo oficial de OWASP: lo comprueba una prueba automática en el código de Budger.
- OWASP Top 10:2025 2025
- Los diez riesgos más comunes en aplicaciones web.
- Nombres de categoría tomados del repositorio oficial de OWASP.
- NIST Cybersecurity Framework 2.0 2.0
- Marco de referencia para organizar un programa de ciberseguridad.
- Mapeo preliminar por función (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar), no por subcategoría. : todavía no está en el catálogo de controles.
- CIS Controls v8.1 · IG1 v8.1
- Las salvaguardas básicas que toda organización debería tener.
- Pendiente de revisar contra la hoja oficial de CIS.
- ISO/IEC 27001:2022 · Anexo A 2022
- Controles de referencia de un sistema de gestión de seguridad de la información.
- Pendiente de revisar contra la norma.
Budger no es una certificación ni la reemplaza. Los controles están mapeados a estos marcos para ayudarte a demostrar que los tienes; la auditoría o la certificación la hace un tercero independiente.
HABLA CON NOSOTROS
¿Tienes una auditoría en camino?
Te mostramos qué controles ya cubre Budger y qué te falta.
- Desde
- Barranquilla, Colombia
- Respuesta
- En horario hábil de Colombia