Curso completo de DevSecOps gratuito en español. Aprende a integrar seguridad en tu pipeline con gitleaks, Semgrep, Trivy, Checkov, Cosign, Vault y OWASP ZAP, con laboratorios sencillos que puedes reproducir en tu propia máquina.
Referencia rápida con todos los comandos del curso de DevSecOps. Detección de secretos, SAST, análisis de dependencias, escaneo de imágenes, SBOM, firma, seguridad en IaC y DAST, listos para copiar y pegar.
Aprende qué es el análisis dinámico de seguridad (DAST) y cómo atacar tu propia aplicación con OWASP ZAP para encontrar XSS, cabeceras ausentes y fugas de información que el análisis estático no puede ver.
Aprende a encontrar contraseñas, tokens y claves API filtradas en tu repositorio con gitleaks, a bloquearlas antes del commit con un hook y a rotarlas correctamente cuando ya se han publicado.
Saca las credenciales del código y llévalas a un gestor de secretos. Monta Vault en local, guarda y recupera secretos, y descubre cómo llegan hasta tus aplicaciones en Kubernetes con External Secrets.
Junta gitleaks, Semgrep, Trivy y Checkov en un único pipeline de GitHub Actions. Aprende a publicar los hallazgos en la pestaña Security con SARIF y a decidir qué debe romper el build y qué solo informar.
Descubre qué es DevSecOps, en qué se diferencia realmente de DevOps, qué significa shift-left security y cómo se ve un pipeline con la seguridad integrada de principio a fin. El punto de partida del curso.
Qué es un SBOM (Software Bill of Materials), cómo generar el SBOM de una imagen Docker con syft en SPDX o CycloneDX y escanearlo con Trivy, y cómo firmar y verificar la imagen con cosign, con claves o sin ellas.
Aprende qué es el análisis estático de seguridad (SAST), cómo encontrar inyecciones y usos peligrosos en tu código con Semgrep sin ejecutarlo, y cómo escribir tus propias reglas cuando las de serie no llegan.
Trivy vs Dependabot, qué hace cada uno en el SCA. Escanea las dependencias de tu proyecto con trivy fs, entiende las transitivas y automatiza los parches con Dependabot o Renovate, con el pipeline de GitHub Actions listo.
Entiende por qué la seguridad no puede ser el último paso antes de producción, qué significa shift-left y qué herramientas cubren cada etapa del pipeline. El puente entre DevOps y DevSecOps.
Audita tu infraestructura como código antes de aplicarla. Detecta buckets públicos, puertos abiertos y bases de datos sin cifrar con Checkov, y escribe tus propias reglas de negocio con Rego y Conftest.
Escanea imágenes Docker con trivy image paso a paso, entiende las severidades de los CVE, sube el informe SARIF a GitHub y rompe el pipeline solo con lo crítico. Incluye cómo fijar trivy-action por SHA tras su compromiso de 2026.
Almacenamiento avanzado en Kubernetes para administradores - drivers CSI, Longhorn, Rook-Ceph, NFS, local PV, snapshots, clones y expansión de volúmenes para la certificación CKA.