Practical tutorials about web development, cryptography, security and developer tools.
El espacio se escribe %20 en una ruta pero + en un formulario, y confundirlos rompe búsquedas, firmas de APIs y enlaces de OAuth. Una guía práctica del percent-encoding para dejar de adivinar.
El espacio se escribe %20 en una ruta pero + en un formulario, y confundirlos rompe búsquedas, firmas de APIs y enlaces de OAuth. Una guía práctica del percent-encoding para dejar de adivinar.
split(",") funciona en la demo y muere en producción. Qué dice realmente el RFC 4180, las trampas que no dice (encoding, tipos, Excel) y cómo parsear y generar CSV sin romper nada.
En YAML el código de país NO se convierte en false, on es un booleano y 1:20 puede ser una hora o el número 80. Un repaso honesto a las trampas del formato que se comió la configuración de DevOps.
Qué significa realmente rwxr-xr-x, cómo traducir entre octal y simbólico sin calculadora, los bits especiales que casi nadie entiende (setuid, setgid, sticky) y por qué chmod 777 "funciona" pero es una mala idea.
Cada git diff ejecuta un algoritmo publicado en 1986 que convierte "qué líneas cambiaron" en un problema de camino más corto en un grafo. Cómo funciona Myers, por qué a veces elige líneas raras y qué alternativas existen.
tensorlake@0.5.144 es la última variante del gusano que roba tokens de npm, GitHub y tu .env antes de republicarse con tu identidad. Checklist práctico si instalaste paquetes afectados.
El draft-16 de OAuth 2.1, publicado en septiembre, declara obsoletos RFC 6749 y 6750: PKCE para todos, adiós al implicit grant. Y el nuevo BCP de validación de JWT está a punto de ser RFC.
TC39 aprobó Temporal en Stage 4 y ya funciona sin flags en Chrome, Firefox y Node 26. Qué cambia para tus timestamps, zonas horarias y cálculos de fechas.
La próxima versión de PostgreSQL, ya en beta final, añade casts uuid↔bytea y codificación base32hex que hacen las UUIDv7 todavía más útiles como primary keys ordenables.
El runtime que ya era de los más rápidos parseando JSON ahora soporta JSON5, JSONL y YAML sin dependencias. Qué significa para tus archivos de configuración y tus logs.
El CA/B Forum cerró el 15 de septiembre el último uso permitido de SHA-1 en certificados y CRLs, y los certificados públicos ya no pueden durar más de 200 días, camino de 47 en 2029.
La función que llevábamos años copiando de Stack Overflow por fin es estándar y Baseline. Cuándo usarla y por qué tu versión casera podía fallar silenciosamente.
Uint8Array.toBase64(), fromBase64() y toHex() llegaron con ES2025 y ya funcionan en todos los navegadores. El hack que rompía con cualquier carácter Unicode por fin tiene sustituto oficial.
El estándar Unicode publicó su versión 18 el 16 de septiembre: nuevos scripts, tres símbolos de moneda y otro recordatorio anual de que .length no cuenta caracteres.
Publicado el 9 de octubre, Python 3.15 hace UTF-8 el encoding por defecto incluso en Windows, junto a lazy imports, frozendict y un JIT más rápido.
Recientes avances en ataques de colisión SHA-1 hacen que el algoritmo sea inseguro incluso para checksums de integridad. Guía de migración a SHA-256 para tus proyectos.
El estándar JSON ha recibido actualizaciones sobre manejo de Unicode, números grandes, y caracteres de control. Cómo afecta a tus herramientas de conversión y validación.
Los navegadores modernos han deprecado comportamientos ambiguos de Date.parse(). Nuevas APIs temporales y por qué deberías usar librerías dedicadas.
DOMPurify 3.0 introduce cambios en su API y nuevas reglas de sanitización. Comparativa con sanitize-html y cuál elegir para tu proyecto.
Unicode 16.0 añade emojis y caracteres que afectan la normalización NFC/NFD. Cómo actualizar tus pipelines de normalización de texto.
Por qué la limpieza de texto (eliminar duplicados, ordenar, normalizar mayúsculas) es crítica antes de procesar datos, con ejemplos prácticos.
Por qué renderizar Markdown de usuarios sin sanitizar es un vector de XSS, cómo marked + sanitize-html mitigan el riesgo, buenas prácticas.
Epoch time, UTC vs zona local, el problema del año 2038, errores comunes al comparar fechas en JS/SQL.
Diferencias estructurales XML vs JSON, trampas de la conversión (atributos, namespaces, arrays vs objetos), casos reales de SOAP a REST.
Descubre por qué MD5 está criptográficamente roto para contraseñas pero sigue siendo válido para checksums de integridad, y cuándo usar cada uno.
Aprende a leer y escribir cron expressions desde cero, evita los errores más comunes, y domina la sintaxis extendida de herramientas modernas como node-cron o GitHub Actions.
Aprende a usar JSON Schema para validar datos de entrada en APIs REST, generar documentación automática y prevenir errores en producción antes de que ocurran.
Entiende la diferencia real entre OAuth 2.0 y JWT, por qué no son lo mismo, y cómo combinarlos correctamente en autenticación moderna.
Descubre por qué los IDs secuenciales fallan en sistemas modernos, cómo funcionan realmente los UUIDs (v4, v7), y cuándo usar cada tipo sin sacrificar rendimiento.
Entiende por qué existe Base64, cómo funciona realmente, y cuándo usarlo para data URIs, JWTs, y APIs. Con ejemplos prácticos de navegador y Node.js.
Descubre por qué la longitud vence a la complejidad, qué es la entropía real, y cómo crear políticas de contraseñas que los usuarios no odien.
Aprende a validar email, teléfono, código postal y password strength con regex, y probar patrones en tiempo real.
Aprende la estructura de JWT, cómo decodificar tokens, entender claims y usarlos en aplicaciones React/Next.js.
Aprende a implementar SHA-256 con salt aleatorio e iteraciones usando la Web Crypto API, exactamente como funciona nuestra herramienta de hash seguro.
