Lo que se usa en cualquier proyecto, sea cual sea el lenguaje: la terminal, el control de versiones, los contenedores, las redes y la ingeniería inversa. Las 36 guías están pensadas para consultarlas cuando no te acuerdas de una orden, no para leerlas de un tirón, y en todas ellas cada orden se ejecutó de verdad. Debajo, cómo trabajar con todo esto y el directorio de quién está empujando cada campo.
Guías de herramientas
Guía · 16 apartadosLos comandos de Linux que de verdad se usanMoverse por el sistema, mirar archivos, buscar con grep y find, tuberías y redirección, filtros de texto, permisos, procesos, disco, red, comprimir y los atajos del teclado. Con esquemas y con la salida real de cada orden, ejecutada en un Debian 13 limpio.Ir a la guía de Linux → Guía · 8 comandos · para principiantesQué es SSH y sus comandos principalesQué pasa al conectarte a un servidor, cómo entrar con clave en lugar de contraseña, copiar archivos con scp, sftp y rsync, atajos en ~/.ssh/config, túneles con ssh -L y cómo resolver los errores más comunes. Con esquemas y todo ejecutado con OpenSSH 10.0 entre dos equipos de prueba.Ir a la guía de SSH → Guía · 11 apartadosLas órdenes de Git que de verdad se usanLas cuatro zonas por las que pasa un cambio, el ciclo de todos los días, cómo deshacer cada cosa según dónde esté, ramas, conflictos de verdad y el trabajo con un remoto. Con esquemas y todo ejecutado con Git 2.47.Ir a la guía de Git → Curso · 10 leccionesAprende Docker, de la imagen al despliegueImágenes y contenedores, capas y caché, el Dockerfile, imágenes pequeñas, volúmenes, Compose, registro y cómo promover la misma imagen de QA a producción sin reconstruirla. Con todos los comandos ejecutados y sus salidas reales.Ir a la guía de Docker → Guía · 14 apartados · para principiantesQué es Kubernetes y cómo se relaciona con DockerEn qué se diferencia de Docker y cómo trabajan juntos, pods, Deployments, Services y ConfigMaps, y un clúster de pruebas real en el que desplegamos una app, la escalamos, la actualizamos sin cortes, deshacemos una versión rota y vemos cómo se repara sola. Con esquemas y las salidas reales.Ir a la guía de Kubernetes → Guía práctica · 12 apartadosREA: pon a tu agente de IA a desarmar programasInstalar REA, conectarlo con Claude Code, Codex o Cursor, comprobar qué falta con rea doctor, analizar una app de Electron y un binario de Go sin ejecutarlos, tenerlo al día y desinstalarlo. Con todas las órdenes ejecutadas y sus salidas reales.Ir a la guía de REA → Guía práctica · 10 apartadosGhidra: instala el descompilador de la NSA y abre tu primer programaInstalar Java 21 y Ghidra, verificar la descarga, analizar un programa compilado, encontrar sus textos, renombrar lo que reconstruye el descompilador, usarlo sin ventanas y conectarlo con REA. Con capturas reales de la interfaz y todas las órdenes ejecutadas.Ir a la guía de Ghidra → Guía · 13 apartados · para principiantesRedes básicas: IP, puertos y NATQué es una dirección IP y qué significa el /24, las direcciones privadas y públicas, la puerta de enlace, los puertos, TCP y UDP, 127.0.0.1 frente a 0.0.0.0, cómo comparte tu router una sola IP con NAT y cómo se abre un puerto. Con esquemas y una red de pruebas real.Ir a la guía de redes → Guía · 11 apartados · para principiantesQué es el DNS y cómo funcionaCómo un nombre se convierte en una dirección IP: el árbol de nombres, el viaje de una consulta desde la raíz, los registros A, CNAME, MX y TXT, la caché y el TTL, el archivo hosts y los errores NXDOMAIN y SERVFAIL. Con esquemas y consultas reales con dig.Ir a la guía de DNS → Guía · 9 apartados · para principiantesGET, POST, PUT y DELETE: los métodos HTTPQué hace cada método de una petición HTTP o HTTPS, cómo es una petición por dentro, qué significan los códigos de respuesta y por qué no existe PUSH. Con esquemas y ejemplos reales con curl sobre una pequeña API de tareas.Ir a la guía de métodos HTTP → Guía · 12 apartadosHTTPS por dentro: del clic al candadoQué pasa desde que el navegador pide una página: DNS, TCP y el apretón de manos de TLS 1.3, cómo se acuerda una clave sin enviarla, qué demuestra un certificado y cómo se envuelve el contenido. Con una captura de paquetes real y los errores de verificación reproducidos.Ir a la guía de HTTPS → Guía · 10 apartados · sin tecnicismosCómo sabe tu navegador en qué certificados confiarLa vida de un certificado desde que lo pide un sitio hasta el candado: cómo lo comprueba la autoridad, los registros públicos donde queda anotado, quién decide qué autoridades son de confianza y cómo llega esa lista a tu equipo. Con esquemas.Ir a la guía de certificados → Guía · 13 apartados · sin tecnicismosQué es la AGI, la inteligencia artificial generalQué distingue a una IA general de la que usamos hoy, qué tendría que saber hacer, los niveles de Google DeepMind, cómo se mide con pruebas como ARC-AGI, qué laboratorios la están buscando y cuándo creen los expertos que podría llegar. Con esquemas.Ir a la guía de AGI → Guía práctica · 16 apartadosCómo saber si atacaron tu WordPressDónde están los registros de Apache, Nginx y PHP, cómo contar las peticiones por IP, qué significan un 200, un 302 o un 404 en wp-login.php y xmlrpc.php, cómo saber si alguien entró y qué hacer si encuentras algo. Todo probado en un servidor de laboratorio con Amazon Linux, Apache, PHP-FPM y WordPress.Ir a la guía de registros → Guía · 9 apartados · con un servidor de ejemploQué es MCP (Model Context Protocol) y cómo funcionaQué problema resuelve, qué son el anfitrión, el cliente y el servidor, qué ofrecen las herramientas, los recursos y los prompts, cómo son los mensajes de verdad en la versión 2026-07-28, un servidor en Python probado con el SDK oficial, cómo conectarlo a Claude Code y Claude Desktop, y sus riesgos.Ir a la guía de MCP → Guía · 6 apartados · probado en siete lenguajesQué es descompilar y qué herramientas sirven en cada lenguajeCompilar, desensamblar y descompilar; qué se pierde por el camino; el mismo programa en C, Java, C#, Python, Go, Rust y WebAssembly descompilado con Ghidra 12.2, Vineflower, CFR, ILSpy y pycdc; las herramientas de cada lenguaje y lo que dice la ley.Ir a la guía de descompilación → Guía · 7 apartados · con animaciónCómo viaja una consulta DNS y cómo se bloquea una webUna animación con cinco escenarios (consulta normal, resolvedor que bloquea, cambio de resolvedor, bloqueo por IP y DNS cifrado), la consulta real con dig +trace, las cuatro formas de bloquear una web y cómo responde de verdad un resolvedor que bloquea.Ver la animación → Guía práctica · 15 fallosLos fallos de seguridad típicos de PHPLos quince fallos que más se repiten en aplicaciones PHP, de la inyección SQL a un php.ini de desarrollo en producción. Para cada uno, el patrón de código que hay que evitar, la forma segura comprobada con PHP 8.5 y cómo encontrarlo en un proyecto que ya existe, con una lista de comprobación final.Ir a la guía de seguridad → Guía · con esquemasLogs y archivos de configuración: qué son y cuáles usa cada lenguajeLas partes de una línea de log, los niveles, dónde acaban y lo que nunca deben llevar; qué es un archivo de configuración, sus formatos y cómo se combinan por capas; y dos tablas con lo que usa cada lenguaje y framework, de Spring Boot y Django a Laravel, .NET y Rails. Con líneas de log reales de Python, Java, Go y PHP.Ir a la guía → Guía · con esquemasCómo empezar con COBOL: instalarlo, el primer programa y los errores típicosAprende COBOL sin mainframe: GnuCOBOL en tu ordenador, el formato fijo de 80 columnas, las cuatro divisiones, los decimales exactos con PIC, leer un archivo de registros y los errores que vas a ver al compilar, con sus mensajes reales. Y después, el camino al mainframe con IBM Z Xplore y el curso del Open Mainframe Project.Ir a la guía → Guía · probada con 0.7.1 y 0.8.0jadx-headless-mcp: qué archivo descargar y cómo usarloEl descompilador JADX convertido en servidor MCP: por qué no existe un jadx-headless-mcp-0.7.1.jar suelto, cuál de los tres archivos bajar, su SHA-256, qué versión de Java necesita y cómo conectarlo con REA, Claude Code, Claude Desktop o Cursor para analizar una app de Android.Ir a la guía → Guía · con esquemasCrear una aplicación con IA sin saber programar: los cuidados que no te puedes saltarLo que hay detrás de una aplicación y once cuidados explicados sin tecnicismos: claves fuera de la vista, reglas en la base de datos, que cada usuario vea solo lo suyo, datos personales, límites de gasto, paquetes que la IA se inventa, inyección de instrucciones, copias y versiones, cómo probar sin leer código y derechos. Con casos reales, frases para pedírselo a la IA y una lista antes de publicar.Ir a la guía → Guía práctica · 16 fallosLos fallos de seguridad típicos de CLos dieciséis fallos que más se repiten en programas escritos en C, del desbordamiento de búfer a las funciones prohibidas en un manejador de señales. Para cada uno, el patrón de código que hay que evitar, cómo lo detectan GCC, AddressSanitizer o Valgrind con su salida real, la forma segura comprobada con GCC 15 y los fallos reales que causó.Ir a la guía de seguridad → Guía práctica · 16 fallosLos fallos de seguridad típicos de C++Los dieciséis fallos que más se repiten en programas escritos en C++, de los iteradores invalidados a las carreras de datos. Para cada uno, el patrón de código que hay que evitar, cómo lo detectan g++, AddressSanitizer, ThreadSanitizer o la biblioteca endurecida con su salida real, y la forma segura comprobada con GCC 15.Ir a la guía de seguridad → Guía práctica · 12 fallosLos fallos de seguridad típicos de los scripts de BashLos doce fallos que más se repiten en los scripts de Bash, de las variables sin comillas a curl | bash. Para cada uno, el patrón que hay que evitar, lo que pasa de verdad con salida real, el aviso de ShellCheck que lo delata y la forma segura, más Shellshock como lección histórica.Ir a la guía de seguridad → Guía · 15 apartados · desde ceroExpresiones regulares desde cero, con grep, Python y JavaScriptCómo se lee un patrón, clases y rangos, cuantificadores codiciosos y perezosos, anclas, grupos y referencias, lookahead y lookbehind, banderas, por qué grep, Python y JavaScript no entienden lo mismo, recetas para correos, fechas, IP y logs, el backtracking catastrófico que tiró a Cloudflare y cuándo no usar una regex. Con todos los ejemplos ejecutados y sus salidas reales.Ir a la guía de expresiones regulares → Guía práctica · 14 apartadossystemd y cron: programas que no se caen y tareas a su horaConvierte tu programa en un servicio que arranca al encender y se reinicia si se cae, córrelo sin privilegios, lee sus logs con journalctl y programa tareas con temporizadores de systemd o con cron, con sus trampas: el PATH, el % y la salida que se pierde. Todo ejecutado en un Debian 13 limpio, con las salidas reales.Ir a la guía → Guía práctica · 19 apartadosNginx desde cero: servidor web, proxy inverso y HTTPS con Let's EncryptServir un sitio, varios dominios en un servidor, qué location atiende cada petición, proxy inverso hacia una app con WebSockets y balanceo, gzip y caché, límites de subida y de peticiones, registros, recargar sin cortar, HTTPS con certbot y su renovación, HSTS y los errores 502, 504, 413 y 404 reproducidos. Todo ejecutado en un laboratorio con Debian 13 y el servidor de pruebas de Let's Encrypt.Ir a la guía de Nginx → Guía práctica · 20 apartadosPostgreSQL en la práctica: instalar, usuarios y permisos, conexiones seguras y respaldosInstalarlo en Debian o con Docker, psql, roles y contraseñas SCRAM, permisos con el mínimo privilegio, pg_hba.conf y por qué entrar por un túnel SSH, índices medidos con EXPLAIN ANALYZE, transacciones y bloqueos, respaldos con pg_dump que se restauran y se comprueban, un respaldo diario automático, VACUUM, cómo saltar de versión y los errores típicos. Todo ejecutado en un laboratorio con PostgreSQL 17 y 18.Ir a la guía de PostgreSQL → Guía · 8 apartados · con laboratorio propioRecompilación estática de juegos: qué es y cómo funcionaEn qué se diferencia de emular y de descompilar, cómo se separa el código, se traduce a C y se resuelven los saltos indirectos, qué hace el runtime y por qué los ports corren mejor. Con una CPU de juguete recompilada en nuestro laboratorio y los proyectos reales: N64Recomp, Unleashed Recompiled y ps3recomp.Ir a la guía de recompilación → Guía · 11 apartados · errores realesJSON y XML: qué son y en qué se diferencianUn mismo pedido escrito en los dos formatos, sus piezas y tipos, la diferencia entre bien formado y válido (JSON Schema y XSD), dónde se usa cada uno hoy, del CFDI del SAT a package.json, los errores típicos con los mensajes reales de Python, jq, Node.js y xmllint, cuándo elegir cada uno y cómo leer XML sin riesgos.Ir a la guía de JSON y XML → Lista · 176 títulos · se revisa cada semanaJuegos compatibles con nxnativeLa lista de juegos de Switch y Switch 2 que nxnative convierte en apps nativas para Mac, iPhone y iPad, con su plataforma, la versión probada y cuáles corren también en Android con nx2android. Con buscador.Ver la lista de juegos → Guía práctica · 19 apartadosAsegurar SSH en tu servidor: llaves, sshd_config, fail2ban, bastión y túnelesLlaves ed25519 y llaves físicas FIDO2, sshd_config paso a paso (y por qué gana el primer archivo de sshd_config.d), cómo cambiarlo sin quedarte fuera, leer los intentos de entrada en el journal, fail2ban, límites con nftables y ufw, qué aporta cambiar el puerto, bastión con ProxyJump, túneles -D y -R limitados por usuario, intercambio de llaves poscuántico, certificados SSH y mantener OpenSSH al día. Todo ejecutado en un laboratorio con Debian 13 y OpenSSH 10.0 y 10.6.Ir a la guía de SSH seguro → Guía práctica · 16 apartadosOpenSSL en la práctica: las órdenes que sí se usanVer un certificado y cuándo vence, probar un servidor con s_client (SNI, versión de TLS, STARTTLS), crear llaves y CSR, un autofirmado para pruebas, comprobar que la llave corresponde al certificado, convertir PEM, DER y PFX (con -legacy para los viejos), pasar la e.firma del SAT a PEM, hashes, cifrar archivos y verificar una cadena, con los errores típicos explicados. Probado con OpenSSL 3.5 y 4.1.Ir a la guía de OpenSSL → Guía explicativa · con demostradorCómo funciona RSA y por qué 1024 bits ya no bastaLa idea de la llave pública y la privada, la aritmética del reloj, cómo se generan las llaves con números de juguete, cifrar y firmar, por qué es difícil de romper, los récords de factorización de 2026, OAEP y PSS, qué tamaño usar y el calendario poscuántico de NIST, con un demostrador para hacer las cuentas en el navegador.Ir a la guía de RSA → Guía práctica · 12 apartadosjadx: descompila una app de Android y lee su códigoInstalar Java y jadx 1.5.6, abrir una APK en jadx-gui o desde la terminal, leer el manifiesto y los permisos, entender la ofuscación y los métodos que no se reconstruyen, buscar direcciones y llaves, exportar a Gradle y conectarlo con un agente de IA con jadx-headless-mcp, jadx-ai-mcp o REA. Todo probado con una app real.Ir a la guía de jadx →En qué orden tienen sentido. Si empiezas de cero, el de Linux va primero: las demás guías dan por sabido moverse por la terminal. La de SSH es la continuación natural, para usar esa misma terminal en otro equipo. Git es el siguiente, porque Docker se usa casi siempre sobre un repositorio, y Kubernetes va después de Docker. Si ya te manejas, cada una se lee por separado y todas acaban con una chuleta. Las de redes no dependen de las demás y se leen en este orden: la de redes básicas, que explica las direcciones IP, los puertos y el NAT; la de DNS, porque toda conexión empieza por una consulta; la de métodos HTTP, que explica qué se pide y qué se responde en cada petición, la de HTTPS, que cuenta cómo viaja todo eso cifrado, y la de certificados, que explica por qué el navegador se fía de quien le responde. Las dos de ingeniería inversa van juntas: primero Ghidra, la herramienta, y después REA, que la pone en manos de un agente de IA.