Qué es OWASP MASVS (y por qué es el lenguaje común de tu auditoría móvil)
El marco de OWASP para auditar apps móviles: 8 grupos, 24 controles y 4 perfiles de seguridad. Explicado sin jerga.
Cuando tu app móvil maneja pagos o datos personales, necesitas una forma estándar de saber si está protegida. OWASP — la organización sin fines de lucro líder en seguridad de aplicaciones — publica MASVS (Mobile Application Security Verification Standard): el marco que define qué revisar y cómo medir si tu app pasa o falla.
Las 8 categorías (grupos) de MASVS v2.1
MASVS agrupa los 24 controles en 8 grupos. Cada grupo cubre un área de riesgo concreta:
| Grupo | Qué cubre | Ejemplo de fallo |
|---|---|---|
| STORAGE | Datos en reposo (archivos, DB, prefs) | Token de sesión en SharedPreferences sin cifrar |
| CRYPTO | Criptografía usada por la app | MD5, ECB o clave derivada del dispositivo |
| AUTH | Autenticación y autorización | Endpoint que confia en la app y no en el backend |
| NETWORK | Tráfico de red y TLS | usesCleartextTraffic=true o sin pinning |
| PLATFORM | Integración con Android/iOS | Componentes exported sin permiso |
| CODE | Calidad de código y dependencias | debuggable=true en release |
| RESILIENCE | Anti-tamper, anti-Frida | APK reempaquetable y funcional |
| PRIVACY | Privacidad, datos personales, terceros | Analytics que envía PII sin consentimiento |
Los 4 perfiles: L1, L2, R y P
Una auditoría no audita todo: audita según el perfil que aplica a tu producto.
- L1 (estándar): para todas las apps. Cubre STORAGE, NETWORK, permisos, CODE básico.
- L2 (avanzado): cuando la app se ejecuta en un SO no confiable (raíces, jailbreaks). Cripto robusto, anti-tamper.
- R (resiliencia): cuando el usuario es el atacante (cheating, reempaquetado). Defensa contra Frida, instrumentación y reempaquetado.
- P (privacidad): cuando se manejan datos personales identificables (salud, finanzas). Incluye Data Safety, consentimiento y terceros.
Por qué MASVS importa para tu negocio
Si un cliente enterprise, un inversor o un regulador te pide la auditoría, gran parte de la conversación se reduce a: ¿cumples MASVS L2? Un informe mapeado a MASVS responde esa pregunta de un vistazo — con una matriz de PASS / FAIL / NO VERIFICADO / N/A y evidencia por control.
Cómo se traduce en una auditoría real
- Se define el perfil (L1, L2, R, P o una combinación) según tu producto.
- Por cada control, se verifica con una prueba específica (MASTG).
- Cada fallo se documenta con código de remediación y se prioriza por impacto de negocio.
- Se emite una matriz MASVS lista para mostrar.
SharedPreferences y RLS sin verificación. El cliente mostró la matriz MASVS a su regulador y aceleró la firma de un contrato enterprise.Lo que proteger MASVS te evita
- Una brecha que dañe la confianza de tus usuarios.
- Tener que rehacer el APK después de que pase algo en producción.
- Responder tarde a un cliente enterprise que pidió revisión de seguridad.
- Pagar un incidente (multa, notificación a usuarios, remediación, horas extra) que cuesta 10–100× la auditoría.
Siguiente paso
Si quieres ver cómo se ve una matriz MASVS aplicada a una app Android real, revisa el caso de Finzy en la página principal. Y si quieres que auditemos la tuya, responde en menos de 24 h con una propuesta clara.
¿Tu app aguanta una auditoría?
Te respondemos en menos de 24 h con una propuesta clara, sin compromiso.
Quiero proteger mi app