¿Qué pruebas de seguridad haces dentro del QA normal, sin ser especialista en seguridad?

Céntrate en lo que las pruebas funcionales alcanzan de forma natural. Testea la autorización pidiendo recursos de otro usuario con un token válido, comprueba que los IDs de las URLs no se pueden intercambiar sin más, prueba payloads de inyección en entradas que lleguen a una consulta o a una plantilla, confirma que los datos sensibles no acaban en logs ni en URLs, verifica la caducidad de sesión y el cierre de sesión, y revisa las cabeceras de seguridad y el uso obligatorio de TLS.

Me centro en las clases a las que puedo llegar desde el testing normal, y arriba del todo está el control de acceso roto, porque es común y es grave. La prueba concreta es simple: inicio sesión con un usuario, anoto el ID de una URL o un payload, y repito la petición con el token válido de un segundo usuario a ver si el objeto vuelve. Hago lo mismo con las fronteras de rol, o sea un usuario estándar llamando directamente a un endpoint de administración en vez de a través de un botón oculto. Después la inyección en cualquier sitio donde la entrada llegue a una consulta, una plantilla o una shell, más el cross site scripting almacenado, donde un valor se pinta en otra parte de la aplicación, que es el caso que se le escapa a la gente porque solo revisa el campo donde escribió. Luego la exposición de datos: valores sensibles en URLs, en logs, en trazas de error devueltas al cliente, o en una respuesta que lleva muchos más campos de los que muestra la interfaz. La gestión de sesión, o sea que cerrar sesión invalide en el servidor y que los tokens caduquen de verdad. Y reviso las cabeceras y el uso obligatorio de TLS, que es rápido. Todo lo que se acerque a un pentesting de verdad lo escalo, porque fingir lo contrario da una falsa sensación de seguridad.