webhacklist.com: el índice de técnicas de hacking web

De vez en cuando aparece un recurso tan bueno que lo más útil que podemos hacer es enviarte directamente a él. webhacklist.com, el Web Hacking Techniques Index, es uno de ellos: un archivo abierto y gratuito de más de 1.100 técnicas de hacking web desde 2006 hasta hoy, cada una conservada para que la investigación no desaparezca cuando se apaga el blog que la publicó.

Que quede claro desde el principio: PlayCISO no lo ha creado. Recomendamos el excelente trabajo de otras personas, y lo hemos añadido a nuestra biblioteca Learn para que sea fácil encontrarlo después.

Qué es

Durante años, la comunidad de seguridad web ha nominado la investigación más innovadora del año y ha votado un Top 10 Web Hacking Techniques. Jeremiah Grossman creó y seleccionó esa lista de 2006 a 2015; James Kettle y PortSwigger la seleccionan desde 2016. El problema: mucha de esa investigación vivía en blogs personales y sitios de empresas que han desaparecido desde entonces. webhacklist.com (mantenido por Soroush Dalili, @irsdl, en GitHub) lo reconstruyó todo como un archivo conservado. Su lema lo dice sin rodeos: «Two decades of web hacking research, preserved before its hosts disappear» («dos décadas de investigación sobre hacking web, conservadas antes de que desaparezcan sus alojamientos»).

Cada técnica tiene una ficha de catálogo con una copia en Markdown y en PDF y un enlace a la fuente original, y una gran parte se recuperó de la Wayback Machine porque la página original ya no responde. Esa conservación es la parte discreta y valiosa: los enlaces rotos se comen la investigación en seguridad más deprisa que en casi cualquier otro campo.

Cómo moverse por él

El archivo se presenta mediante varias vistas, y ahí es donde entra el ancla #museum a la que quizá hayas llegado:

• Investigation Board: un tablón de corcho por año, útil para ver de un vistazo la investigación destacada de un solo año.
• Museum: «salas de exposición» temáticas que agrupan las técnicas para explorarlas en lugar de buscarlas.
• Library: la vista de «estanterías de lectura» para recorrer el catálogo.
• Time Machine: la investigación a lo largo del tiempo, ideal para ver evolucionar una clase de fallo.
• Signals & Constellation: un observatorio de tendencias y un mapa de relaciones que conecta técnicas relacionadas.
• Hacker Terminal: una consola de consultas para quien prefiere buscar a explorar.

Es gratuito, seguirá siéndolo y para navegar no hace falta cuenta: solo se necesita iniciar sesión con GitHub para enviar una técnica o señalar una inexactitud.

Cómo debería usarlo de verdad un equipo de seguridad

Como columna vertebral de aprendizaje. Elige una clase de fallo (SSRF, HTTP request smuggling, deserialización o el trabajo más reciente sobre inyección de prompts en la capa web) y lee cómo evolucionó de verdad año a año. Sales entendiendo la forma de una clase de vulnerabilidad, no solo un CVE.

Como checklist de defensa. Relaciona las técnicas destacadas con lo que expone tu propia pila y lleva las que apliquen a tu modelo de amenazas y a tu plan de pruebas. «¿Alguien ha comprobado si esta clase nos afecta?» es una pregunta de revisión mucho mejor que «¿estamos parcheados?».

Ese segundo uso es justo donde encaja con el trabajo que construimos aquí: toma una técnica que te preocupe, mete tu sistema en el Threat Model Studio para ver dónde caería y, si se trata de una superficie web relacionada con la IA, pasa los patrones de inyección por PromptScan. El archivo te dice lo que han averiguado los atacantes; lo importante es contrastarlo con lo que publicas. Para más recursos gratuitos y seleccionados como este, la biblioteca Learn completa es el lugar donde explorar.

El mérito, a quien corresponde: el Web Hacking Techniques Index es obra de sus seleccionadores y de su mantenedor, no de PlayCISO. Los detalles reflejan el sitio a octubre de 2026; visita webhacklist.com para ver el archivo actual.