A la lliçó anterior vas mesurar el teu domini amb l'avaluació final. Si el resultat va ser bo, és natural que sorgeixi la pregunta: "existeix una certificació oficial d'OWASP que acrediti tot això?". La resposta honesta —i el propòsit d'aquesta lliçó— és matisada: OWASP no emet una certificació de producte que digui "OWASP Certified" a l'estil d'altres fabricants. OWASP és una fundació oberta el valor de la qual està en els seus estàndards i projectes (Top Ten, ASVS, SAMM, ZAP, WSTG...), no en un examen propietari. Però això no significa que el teu esforç no sigui acreditable: precisament perquè el coneixement OWASP és la base de l'appsec modern, apareix de manera transversal als temaris de moltes certificacions de la indústria. Aquesta lliçó aclareix aquesta distinció, ofereix un panorama comparat i honest de les certificacions rellevants en seguretat web/appsec, mostra com el contingut d'aquest curs mapeja als seus temaris i t'ajuda a triar segons el teu perfil (desenvolupador, pentester o arquitecte). Sense fum i sense inventar credencials que no existeixen.

1. Per què OWASP no és una certificació (i què és en realitat)
2. L'ecosistema de certificacions d'appsec
3. Taula comparativa de certificacions rellevants
4. Com el curs mapeja als temaris
5. Com triar segons el teu perfil
6. Errors comuns i consells
7. Exercicis
8. Conclusió

Convé desmuntar un malentès freqüent. OWASP (Open Worldwide Application Security Project) és una fundació sense ànim de lucre que produeix recursos oberts i gratuïts:

• Estàndards i guies: Top Ten, ASVS, WSTG (Web Security Testing Guide), MASVS (mòbil), SAMM.
• Eines: ZAP, Dependency-Check, Amass, entre d'altres.
• Materials d'aprenentatge: WebGoat, Juice Shop, Cheat Sheet Series.

El seu model és l'obertura, no la certificació de persones. No hi ha un examen oficial "OWASP Certified Professional". El que sí que existeix és la seva influència: el vocabulari i els marcs d'OWASP són el llenguatge comú del sector, així que dominar-los et prepara per a gairebé qualsevol certificació de seguretat d'aplicacions, perquè gairebé totes els referencien.

Matís important: que no hi hagi una certificació de producte no significa que OWASP no participi en formació. La fundació organitza formació als seus esdeveniments i hi ha projectes comunitaris, però cap no és "la certificació oficial OWASP" equivalent a les credencials de la indústria. Desconfia de qualsevol oferta que prometi un "títol oficial OWASP": no és com funciona la fundació.

La idea clau del diagrama: OWASP alimenta les certificacions, però no és una d'elles. El teu coneixement OWASP és el fonament; la certificació és el segell que un tercer hi posa a sobre.

Les certificacions rellevants s'agrupen per enfocament. Entendre els grups ajuda més que memoritzar sigles:

• Pentesting / ofensives de web: mesuren la teva capacitat de trobar i explotar vulnerabilitats. Molt pràctiques, amb examen de laboratori.
• Secure coding / defensives: mesuren la teva capacitat d'escriure i revisar codi segur. Orientades a desenvolupadors.
• Generalistes de seguretat: cobreixen appsec com una part d'un temari més ampli de ciberseguretat. Solen ser més teòriques i reconegudes per RH.
• Arquitectura / gestió: enfocades al disseny i govern de la seguretat, alineades amb SAMM i ASVS.

Cap no és "la millor" en abstracte: la millor és la que encaixa amb el teu rol i el teu objectiu professional.

La taula següent recull certificacions reals i reconegudes del sector, amb el seu enfocament, nivell i caràcter pràctic o teòric. Els detalls exactes (preu, format) canvien amb el temps: confirma sempre a la font oficial de l'emissor.

Observacions honestes: les d'OffSec, PortSwigger i INE són les més pràctiques i valorades per a rols ofensius web; CSSLP i GWEB/GSSP són les que més s'alineen amb l'enfocament defensiu i de cicle de vida d'aquest curs; Security+ i CEH són portes d'entrada generalistes, útils per començar però menys específiques d'appsec.

El que has estudiat aquí no cobreix per si sol cap certificació completa, però sí que assenta la base dels seus dominis d'appsec. Aquest mapeig et diu quina certificació aprofita millor cada mòdul:

Dit d'una altra manera: si et decantes pel ofensiu, el teu curs t'ha donat el mapa (Top Ten, ZAP) i ara toca aprofundir en explotació pràctica (OSWE/eWPT/Burp). Si et decantes pel defensiu o d'arquitectura, ja domines gran part del temari conceptual de CSSLP/GWEB.

No hi ha una resposta universal. Tria per rol i objectiu:

El teu valor està a escriure i revisar codi segur. Prioritza credencials defensives i de cicle de vida:

• Primer pas realista: consolidar M3, M4 i M7 i apuntar a CSSLP (si el teu rol inclou cicle de vida) o GSSP/GWEB.
• Complementa amb laboratoris de Juice Shop/WebGoat (lliçó 09-03) per entendre l'atac des de la defensa.

El teu valor està a trobar i demostrar vulnerabilitats. Prioritza credencials ofensives i molt pràctiques:

• Ruta recomanada: Burp Suite Certified Practitioner o eWPT com a intermèdies, i OSWE/eWPTX com a objectiu avançat.
• El teu M6 (ZAP) és la base; el salt és soltesa en explotació manual i white-box.

El teu valor està en el disseny i el govern. Prioritza credencials de cicle de vida i gestió:

• CSSLP encaixa de ple amb el teu M5 (SAMM) i M7 (threat modeling, S-SDLC).
• Menys focus en explotació manual, més en requisits (ASVS) i maduresa (SAMM).

• Buscar "la certificació oficial d'OWASP". No existeix com a credencial de producte. Si algú te la ven, sospita. OWASP és la base, no el segell.
• Triar la certificació de moda en lloc de la del teu rol. OSWE és prestigiosa, però si ets desenvolupador defensiu potser CSSLP t'aporta més valor professional. Alinea la credencial amb la teva feina real.
• Certificar-se sense pràctica. Les millors credencials d'appsec són de laboratori: no s'aproven només llegint. La lliçó 09-03 està dedicada precisament a aquesta pràctica.
• Ignorar el cost i la vigència. Moltes exigeixen renovació (CPE/recertificació) i tenen preus alts. Informa't a la font oficial abans de comprometre't.
• Consell: una certificació acredita, però el que et contracta és el que saps fer. Tracta-la com un objectiu que t'obliga a practicar, no com un fi en si mateix.

Exercici 1. Un company afirma: "Em trauré la certificació oficial d'OWASP per ser AppSec". Corregeix la seva afirmació en 3-4 frases, explicant què és OWASP realment i reencaminant el seu objectiu cap a credencials adequades.

Exercici 2. Ets desenvolupador backend de BazarNube i vols créixer cap a un rol d'AppSec defensiu. Tria una certificació de la taula, justifica l'elecció amb el teu perfil i enllaça almenys dos mòduls del curs que ja t'han preparat per al seu temari.

Exercici 3. Ordena aquestes tres certificacions de més pràctica a més teòrica i explica el criteri: OSWE, CompTIA Security+, eWPT.

Solució 1. "OWASP no emet una certificació oficial de producte: és una fundació oberta que crea estàndards (Top Ten, ASVS, SAMM) i eines (ZAP) gratuïts, que són la base de l'appsec. No et pots 'treure OWASP', però sí una certificació de la indústria que s'ancori en aquell coneixement. Per a un rol AppSec defensiu, mira CSSLP o GWEB; per a un d'ofensiu, eWPT/OSWE. El teu coneixement OWASP és el fonament sobre el qual prepararàs qualsevol d'elles."

Solució 2. Resposta model: "Trio CSSLP perquè el meu perfil és defensiu i de cicle de vida, no d'explotació. CSSLP cobreix secure coding, S-SDLC i gestió del cicle, exactament l'enfocament de la meva feina a BazarNube. Ja vinc preparat: el M7 em va donar S-SDLC, threat modeling i DevSecOps, i el M5 (SAMM) em va donar el marc de maduresa que CSSLP també tracta. Complementaria amb M4 (ASVS) com a catàleg de requisits." (També seria vàlid GSSP/GWEB amb justificació anàloga.)

Solució 3. De més pràctica a més teòrica: OSWE (examen de laboratori de 48 h, explotació real) > eWPT (examen pràctic amb informe, una mica més guiat) > CompTIA Security+ (examen tipus test generalista, sense laboratori). El criteri és el pes del component hands-on enfront del de coneixement memorístic: com més s'aprova "fent" en un entorn real, més pràctica és la certificació.

Ja tens el panorama amb claredat i sense fum: OWASP no és una certificació, és el fonament obert sobre el qual es construeixen gairebé totes les credencials de seguretat d'aplicacions, i el teu curs t'ha donat precisament aquest fonament —Top Ten, ASVS, SAMM, ZAP i bones pràctiques— aplicat sobre BazarNube. Has vist quines certificacions existeixen de veritat, com els teus mòduls mapegen als seus temaris i com triar la que encaixa amb el teu perfil de dev, pentester o arquitecte. Però saber quina certificació vols és només la meitat: l'altra meitat és preparar-la bé, i les millors credencials d'appsec s'aproven practicant, no memoritzant. Per això l'última lliçó del curs, 09-03 Recursos per a la Preparació de la Certificació, et donarà un pla d'estudi concret, els laboratoris (Juice Shop, WebGoat, CTF), la documentació OWASP com a guia i un calendari per setmanes per arribar a l'examen amb les mans entrenades, no només el cap ple.