Análisis del curso “OWASP Top 10 API | Seguridad en APIs” de Fernando Conislla: ¿vale la pena?

Qué promete y qué encontré al analizarlo

OWASP Top 10 API | Seguridad en APIs, de Fernando Conislla Murguia, que se presenta como hacker ético, promete enseñarte de forma práctica las 10 amenazas más críticas para las API. Tiene 3,300 alumnos, 1,148 reseñas y 4.45 estrellas; se actualizó el 4 de febrero de 2026.

El curso sigue la edición 2023 del OWASP API Security Top 10, la vigente según api-security.owasp.org (3 de noviembre de 2026), no el OWASP Top 10:2025 de aplicaciones web. Tras montar un laboratorio propio, dedica una sección a cada riesgo, con clase de explotación en 9 de los 10. Son 3.1 horas en 54 clases de video, sin cuestionarios ni ejercicios.

El temario, en resumen

• Introducción (6 clases, 12 minutos): qué es una API, la seguridad de APIs, OWASP y la lista de 2023.
• Laboratorio (7, 41 minutos): VirtualBox, Kali Linux, la API de pruebas y la configuración y el uso básico de Burp Suite.
• API1 a API5 (20, 67 minutos): autorización insegura a nivel de objeto (API1), de propiedades (API3) y de funciones (API5), autenticación insegura (API2) y consumo de recursos sin restricciones (API4).
• API6 a API10 (19, 56 minutos): flujos de negocio sensibles (API6), SSRF sin clase de explotación (API7), configuración incorrecta (API8), inventario de activos (API9) y consumo inseguro de APIs (API10).
• Cierre (2, 7 minutos): herramientas para probar la seguridad de las APIs y prácticas recomendadas.

Puntos fuertes

• La edición vigente, riesgo por riesgo. Las 10 secciones siguen la lista de 2023 en orden, con explicación, escenario de ataque y prevención: sirven de consulta. Y la explica en español, sin versión oficial en ese idioma: OWASP la publica en inglés, persa, francés, indonesio y portugués.
• Laboratorio propio y legal. Antes del primer ataque, el curso dedica 41 minutos a montar Kali Linux en VirtualBox, la API de pruebas y Burp Suite. Ese entorno te deja practicar sin apuntar a APIs ajenas, algo que sin permiso puede ser delito.
• El peso donde más fallan las APIs. API1 y API3, de autorización, tienen dos de las tres explotaciones más largas (6:32 y 5:50). Como ingeniero, valoro ese énfasis: OWASP pone la autorización a nivel de objeto en el puesto 1, y es un fallo de lógica que un escáner automático difícilmente detecta, porque no sabe a quién pertenece cada dato.
• Corto y fácil de probar. Clases de unos 3.4 minutos y 5 de vista previa gratis, entre ellas la de la lista de 2023. Sirve como mapa rápido antes de revisar tus APIs o de un pentest autorizado.

Aspectos mejorables

• Prevención breve. Las 10 clases de prevención suman 32 minutos, de 1:10 a 5:38, y sus títulos, iguales en cada riesgo, no dicen si muestran código. Por su duración, parecen explicaciones conceptuales: si desarrollas APIs, cuenta con traducir tú las defensas a tu stack.
• Práctica corta y sin evaluación. Las 9 clases de explotación suman 36 minutos, el 19 % del video, y la SSRF (API7) no tiene clase de explotación. No hay cuestionarios, ejercicios ni recursos descargables: practicas solo si repites las demostraciones.
• «Actualizado 2026», con una sola clase nueva. Según las fechas del currículo público, 53 de las 54 clases son de noviembre de 2023; la única posterior, de diciembre de 2025, es la de herramientas. La edición 2023 sigue vigente, pero el título promete más novedad de la que hay.
• Requisitos que se quedan cortos. Solo pide internet y ganas de aprender, pero la clase de qué es una API dura 2:24 y el laboratorio exige una máquina virtual con Kali. Sin bases de HTTP y Linux irás más lento; los subtítulos son automáticos.

Conclusión honesta

OWASP Top 10 API | Seguridad en APIs es un buen mapa en español del Top 10 de API vigente. Es una introducción, no un entrenamiento para auditar APIs ni para corregirlas en código.

Si nunca has trabajado con APIs, empieza por API Testing con Postman. Después de este curso, practica por tu cuenta en crAPI, la API vulnerable a propósito de OWASP, o en el tema de API testing de la Web Security Academy de PortSwigger, que es gratuita. Si programas, Desarrollo de Software Seguro añade defensas en código para aplicaciones web; para el lado ofensivo, revisa el listado del curso de hacking ético.

Preguntas frecuentes