El engaño avanza a la velocidad de las máquinas. Aprende a mantener el ritmo.
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Iniciar sesión en el portalSoporteBlogContactar
Buscar
Solicita una demo
Empieza gratis
InicioCiberseguridad 101
Política del mismo origen

Qué es la política del mismo origen

Qué es la política del mismo origen

Escrito por: Lizzie Danielson

Publicado: 26/9/2025

mujer trabajando en una laptop
Logotipo de ChatGPTChatGPTSe abre en una pestaña nuevaLogotipo de ClaudeClaudeSe abre en una pestaña nuevaLogotipo de PerplexityPerplexitySe abre en una pestaña nuevaLogotipo de Google GeminiGoogle AISe abre en una pestaña nueva
En esta página

¿Alguna vez te preguntaste cómo tu navegador te mantiene a salvo mientras navegas en la web? Aquí entra la política del mismo origen (SOP), uno de los héroes anónimos de la web. Este modelo de seguridad del navegador restringe las interacciones entre distintos sitios, protegiéndote de posibles filtraciones de datos y actores maliciosos. Piénsalo como tu guardián web, que garantiza que los scripts del Sitio A no puedan interferir con los datos del Sitio B.

Esta publicación explora a fondo qué es la política del mismo origen, cómo funciona, sus beneficios y los riesgos de evitarla. También exploraremos la relación de SOP con CORS (Cross-Origin Resource Sharing), respaldada por ejemplos reales. Ya seas un desarrollador que busca fortalecer su aplicación o un entusiasta de la ciberseguridad en ciernes, esta guía es tu punto de partida perfecto.

Qué es la política del mismo origen

La política del mismo origen es una función de seguridad del navegador que impide que los scripts de un origen accedan a datos de otro origen.

Primero, hay que definir “origen.” Un origen es una combinación única de protocolo (http o https), dominio, y número de puerto. Si estos tres coinciden, los dos sitios comparten el mismo origen. Por ejemplo:

  • http://example.com/page1.html y http://example.com/page2.html son del mismo origen.

  • https://example.com y http://example.com NO son del mismo origen porque el protocolo difiere.

  • http://blog.example.com y http://example.com NO son del mismo origen porque los dominios difieren.

Sin SOP, los sitios maliciosos podrían interactuar con sitios sensibles (piensa en banca en línea o plataformas de correo electrónico), lo que generaría resultados desastrosos.

Por qué la política del mismo origen es importante para la seguridad web

SOP es un escudo contra dos de los ataques web más peligrosos:

XSS ocurre cuando los atacantes inyectan scripts maliciosos en una página web confiable. SOP minimiza el alcance del robo de datos al aislar estos scripts. Por ejemplo, incluso si un script malicioso se ejecuta en un blog en línea, no puede acceder a las cookies de tu cuenta de correo electrónico.

  • Cross-Site Request Forgery (CSRF)

CSRF engaña a los usuarios para que ejecuten acciones no deseadas, como transferir dinero, en sitios autorizados sin su consentimiento. SOP ayuda a bloquear que scripts no autorizados hagan estas solicitudes en tu nombre.

En resumen, SOP crea un muro alrededor de los datos de cada sitio, evitando el caos.

Cómo funciona la política del mismo origen

Cuando tu navegador carga scripts de un origen, aplica SOP para restringir acciones específicas. Así es como funciona en la práctica:

  • Permitido: Incrustar recursos estáticos como imágenes, hojas de estilo y archivos JavaScript de otros orígenes.

  • Bloqueado: Interacciones dinámicas como leer cookies, acceder a estructuras DOM o ejecutar scripts de un origen distinto.

SOP en acción

Imagina que tienes la sesión iniciada en tu cuenta de banca en línea https://bank.com. Ahora, sin saberlo, visitas http://badsite.com. Sin SOP:

  • badsite.com podría enviar solicitudes de API a tu cuenta bancaria.

  • Peor aún, podría leer datos sensibles como saldos de cuentas o credenciales.

Con SOP aplicado, los scripts infractores quedan bloqueados, manteniendo tus datos seguros.

Una excepción común: CORS

A veces, es necesario compartir recursos entre orígenes. Por ejemplo, una aplicación web alojada en api.example.com podría necesitar interactuar con frontend.example.com. Entra Cross-Origin Resource Sharing (CORS). Al configurar encabezados específicos, los sitios web pueden agregar a la lista de aceptados orígenes confiables para evitar las restricciones de SOP.

Ejemplo de un encabezado CORS

Para permitir que https://frontend.example.com acceda a recursos de https://api.example.com, el servidor incluiría el siguiente encabezado en su respuesta:

```

Access-Control-Allow-Origin: https://frontend.example.com

```

Ataques comunes que previene la política del mismo origen

Los atacantes pueden engañar a los usuarios para que visiten enlaces maliciosos y así robar cookies de sesión. Gracias a SOP, un sitio no puede "espiar" los datos de sesión de otro origen.

  • Robo de datos mediante frames incrustados

Incrustar iframes de sitios sensibles fue en algún momento un método común para que los atacantes extrajeran datos. Con SOP, cualquier intento de acceder a los detalles de un iframe desde un origen diferente se bloquea de inmediato.

SOP trabaja en conjunto con encabezados como X-Frame-Options para prevenir ataques de clickjacking, en los que los usuarios hacen clic sin saberlo en elementos ocultos incrustados por atacantes.

Ejemplo de política del mismo origen

Escenario permitido

Un blog en http://example.com incrusta una imagen de http://cdn.example.com. El navegador lo permite porque es una solicitud pasiva que no requiere interacción dinámica.

Escenario bloqueado

El mismo blog intenta leer las cookies del usuario desde http://bank.com. SOP bloquea esto de inmediato, ya que los orígenes son diferentes.

Cómo evadir la política del mismo origen y por qué hacerlo es riesgoso

Métodos para evadir SOP

  • Encabezados CORS: Otorga acceso explícito incluyendo Access-Control-Allow-Origin en las respuestas del servidor. Se usa para habilitar comunicación entre orígenes confiables.

  • JSONP: Esta técnica envuelve solicitudes entre orígenes usando callbacks de JavaScript. Es un método más antiguo y en gran parte reemplazado por CORS.

  • document.domain Setter: Permite que scripts de subdominios del mismo dominio raíz se comuniquen (por ejemplo, de login.example.com a example.com). Sin embargo, está obsoleto y debe evitarse.

Por qué evadir SOP puede ser peligroso

Aunque evadir SOP puede parecer inofensivo para casos de uso legítimos, las configuraciones incorrectas pueden volver vulnerables tus sistemas:

  • Las políticas CORS demasiado permisivas (por ejemplo, Access-Control-Allow-Origin: *) exponen recursos sensibles a todos los orígenes.

  • Los atacantes pueden aprovechar formas inseguras de evasión como JSONP para ataques XSS o interceptación de datos sensibles.

  • El uso indebido de la incrustación de iframes o de las API de mensajería entre ventanas (postMessage) arriesga la filtración de información confidencial.

Si evadir SOP es indispensable, asegúrate de contar con políticas de control de acceso estrictas para minimizar los riesgos.

SOP frente a el intercambio de recursos entre orígenes

Mientras SOP se enfoca en restringir acciones entre orígenes por seguridad, CORS ofrece un marco para habilitar de forma segura el acceso aprobado. Piensa en SOP como una puerta cerrada con llave y en CORS como una llave personalizada.

Diferencias clave

Característica

Política del mismo origen

CORS

Propósito

Restringe interacciones entre orígenes

Habilita el uso compartido seguro de datos entre orígenes

Flexibilidad

Altamente restrictiva

Configurable mediante encabezados

Ejemplo de caso de uso

Bloquear scripts no autorizados

Permitir que un front-end confiable consuma API

Consejos prácticos para desarrolladores

  • Establece políticas CORS seguras: Evita configurar Access-Control-Allow-Origin como *. Restringe el acceso solo a orígenes confiables.

  • Usa HTTPS en todas partes: Acceder a recursos por HTTP es un riesgo de seguridad. Usa siempre HTTPS para aplicaciones sensibles.

  • Sanea las entradas: Validar datos tanto en el cliente como en el servidor reduce riesgos como XSS.

  • Supervisa los encabezados: Implementa encabezados como X-Frame-Options y Content-Security-Policy para protegerte contra el abuso de iframes e inyecciones de scripts no autorizadas.

La seguridad web empieza con la concientización

La política del mismo origen podría no ser la parte más llamativa de la seguridad web, pero sin duda es una de las más importantes. Al bloquear silenciosamente las interacciones dañinas entre orígenes, SOP mantiene internet más seguro para todos.

Los desarrolladores y los equipos de seguridad deben tratar SOP como una base, no como una solución independiente. Combina sus protecciones con defensas modernas como configuraciones de CORS, tokens CSRF, encabezados seguros y monitoreo proactivo de amenazas para crear un enfoque de seguridad sólido.

Ahora ya sabes qué es SOP y por qué importa. ¿El siguiente paso? Usa este conocimiento para crear aplicaciones más seguras e inteligentes. El futuro de la seguridad web empieza contigo.

Logotipo de ChatGPTChatGPTSe abre en una pestaña nuevaLogotipo de ClaudeClaudeSe abre en una pestaña nuevaLogotipo de PerplexityPerplexitySe abre en una pestaña nuevaLogotipo de Google GeminiGoogle AISe abre en una pestaña nueva
En esta página

Preguntas frecuentes

La política del mismo origen (SOP) es una función de seguridad del navegador web que restringe cómo los documentos y scripts de un sitio web (origen) pueden interactuar con recursos de otro. En términos simples, evita que un sitio malicioso acceda a datos de otro sitio a través del navegador, protegiendo a los usuarios de amenazas como secuencias de comandos en sitios cruzados (XSS) o fugas de datos. (Es como una cerca de privacidad entre sitios web).

SOP ayuda a hacer cumplir la privacidad web y el aislamiento de aplicaciones. Sin ella, cualquier sitio web podría hacer solicitudes no autorizadas o leer información sensible de otros sitios web en los que hayas iniciado sesión, como portales bancarios o cuentas de correo electrónico. Es una defensa fundamental contra ataques entre orígenes como CSRF y el robo de credenciales.

En el contexto de SOP, "origen" se refiere a una combinación única de protocolo (HTTP/HTTPS), dominio y puerto. Para que dos páginas web se consideren del mismo origen, los tres elementos deben coincidir exactamente. Por ejemplo, https://example.com y http://example.com son orígenes diferentes debido al protocolo.

La política del mismo origen se puede omitir o relajar bajo ciertas condiciones, como:

  • Usar encabezados de CORS (Cross-Origin Resource Sharing) desde el servidor

  • PostMessage API para comunicación segura entre orígenes

  • (Históricamente) usar document.domain, aunque ahora está obsoleto debido a riesgos de seguridad El uso inadecuado de estos métodos puede provocar vulnerabilidades o acceso no autorizado.

La política del mismo origen es una restricción predeterminada impuesta por el navegador, mientras que CORS es una forma en que los servidores permiten explícitamente ciertas solicitudes entre orígenes usando encabezados como Access-Control-Allow-Origin. SOP bloquea de forma predeterminada; CORS ofrece excepciones controladas cuando se configura de forma segura.

Para evitar ataques entre orígenes:

  • Usa políticas de CORS estrictas y validadas

  • Evita Access-Control-Allow-Origin: * a menos que sea absolutamente necesario

  • Implementa tokens CSRF

  • Depura y valida todas las entradas para evitar XSS Usa encabezados de seguridad como Content-Security-Policy, X-Frame-Options y cookies SameSite

    • Estas prácticas complementan la política del mismo origen para crear una seguridad del navegador en capas.

Recursos adicionales

Más información sobre Qué es la red de voz sobre IP (VoIP) y por qué importa en ciberseguridad
Qué es la red de voz sobre IP (VoIP) y por qué importa en ciberseguridad
Ciberseguridad 101

Qué es la red de voz sobre IP (VoIP) y por qué importa en ciberseguridad

Aprende cómo funcionan las redes de voz sobre IP, su papel en la ciberseguridad y consejos prácticos para proteger la red de voz sobre IP en tu organización.

Más información sobre ¿Qué es ClickFix?
¿Qué es ClickFix?
Ciberseguridad 101

¿Qué es ClickFix?

ClickFix es una técnica de ingeniería social que engaña a los usuarios para que ejecuten comandos maliciosos. Descubre cómo funciona, ejemplos reales y cómo prevenirla.

Más información sobre ¿Qué es el registro de depuración? Beneficios y mejores prácticas
¿Qué es el registro de depuración? Beneficios y mejores prácticas
Ciberseguridad 101

¿Qué es el registro de depuración? Beneficios y mejores prácticas

Descubre qué es el registro de depuración, cómo ayuda en ciberseguridad y las mejores prácticas clave para reducir riesgos y mejorar la respuesta a incidentes

Protege lo que importa

Protege endpoints, correos electrónicos y empleados con el poder de nuestro SOC disponible 24/7. Prueba Huntress gratis y despliégalo en minutos para empezar a combatir amenazas.
Prueba Huntress gratis