Códigos de respuesta que cuentan historias

Los códigos de estado se agrupan por la primera cifra: 1xx informativos, 2xx éxito, 3xx redirección o aviso de que no hay nada nuevo, 4xx error atribuible al cliente y 5xx error del servidor o de algo entre medias. El estándar de HTTP los define y es la fuente que conviene tener a mano.

Hay tres casos que se confunden. Un 304 no es un error ni una redirección a otro sitio: el cliente preguntó si su copia guardada seguía vigente y el servidor dijo que sí, así que no manda el cuerpo. Un 401 pide autenticación que falta o no vale; un 403 dice «entendí lo que pides y no te lo doy». Y un 404 dice que ese recurso no existe, o que el servidor prefiere no admitir que existe.

Un 404 suelto es lo más normal del mundo: un enlace roto, una errata. Lo que se separa de lo normal es la forma. Un cliente que prueba muchas rutas distintas, casi todas inexistentes y con nombres de las que suelen tener las instalaciones por defecto (paneles, copias de respaldo, archivos de configuración), no está navegando: está tanteando qué hay. En el resumen por origen eso se ve como muchas rutas distintas y casi todo 404, con algún 403 donde sí había algo.

Abre la tabla de resumen del portal y mira la columna de 404. No te quedes con el que más peticiones hace en total: mira quién acumula esa clase de respuesta.

Un 401 aislado es un olvido de contraseña. Una secuencia de 401 en segundos, del mismo origen y contra la misma ruta de acceso, es otra cosa: alguien probando credenciales. Lo que pesa de verdad es lo que viene al final de la secuencia. Si termina en una respuesta que no es 401 —un 302 que redirige al interior del portal, por ejemplo—, esa cuenta pudo quedar abierta, y el incidente cambia de «intentos» a «acceso posible».

Mira la muestra de peticiones del portal y cuenta cuántas respuestas 401 recibió el origen que prueba el acceso, antes de que el servidor responda otra cosa.

El código ayuda a ubicar el fallo: la clase 4xx apunta al cliente y la 5xx, al servidor o a algo entre medias. Un 502 significa que un intermediario recibió una respuesta inválida de otro servidor detrás. Si varios clientes sin relación entre sí reciben el mismo 5xx en el mismo minuto, la causa más sencilla es un problema del servicio, no un ataque. Y si luego, sin que nadie cambie nada, vuelve el 200, tiene aún más pinta de avería que se arregló.

Revisa en la muestra los 502 de las 10:12 y fíjate en qué equipos los reciben y qué pasa después.

Para redactar el hallazgo no basta con decir «alguien probó contraseñas»: hay que dar la ruta atacada, el origen, la hora y el resultado, de modo que el equipo del portal pueda buscar en sus propios registros de acceso. La ruta es lo que enlaza lo visto en la red con lo que guarda la aplicación.