Seguridad del lado del cliente: la superficie de ataque que tu WAF no ve
El WAF protege tu origin. Pero la mayoría de los ataques modernos contra sitios web viven en el navegador del visitante, sobre código de terceros. Por eso la seguridad del lado del cliente es una disciplina aparte.
La seguridad del lado del cliente (client-side security) abarca todo lo que ocurre en el navegador del visitante después de cargar la página — la ejecución de JavaScript, los scripts de terceros, las solicitudes a dominios externos y las manipulaciones del DOM. Es una superficie que las defensas orientadas al servidor no ven por principio.
La historia de la industria es sercidocéntrica: WAF, IDS, file integrity monitoring. Todas estas herramientas miran hacia el origin. Pero el sitio web moderno carga decenas de scripts desde hosts externos — analytics, publicidad, A/B testing, chat, pagos. Cada uno de ellos es código que ejecutas con todos los privilegios de tu página, y cada uno es un posible vector de entrada. Cuando un tag manager o un script de CDN se ve comprometido, tu WAF es ciego porque el tráfico malicioso nunca pasa por él.
Las tres categorías principales de amenazas del lado del cliente: web skimming/formjacking (robo de datos de formularios), drive-by downloads y exploit kits (distribución de malware en la carga de la página) y ClickFix/CAPTCHA falso (ingeniería social ejecutada por el propio usuario). Lo que tienen en común es que se ejecutan en el cliente y son invisibles para la infraestructura orientada al servidor.
Qué es una buena protección del lado del cliente: un inventario de cada script de terceros y sus conexiones de salida; una Content-Security-Policy estricta; Subresource Integrity para las dependencias estáticas; y — de forma crítica — monitoreo continuo de lo que la página ejecuta realmente y a quién se conecta, visto desde un navegador real, no desde un escáner estático.
ExploitShield está construido íntegramente en torno a esta superficie. En lugar de hacer proxy de tu tráfico, repite el renderizado de las páginas monitoreadas en un Chromium real cada 5 minutos, captura cada cuerpo de JS y cada destino de salida, y los enriquece con inteligencia de amenazas. El objetivo es simple: hacer que la superficie de ataque del lado del cliente sea tan visible como lo ha sido la del servidor durante décadas.