Tokens y el informe final

Un token sin caducidad es una credencial permanente: si se filtra una vez, sirve para siempre o hasta que alguien rote la clave que lo firma. Un token razonable caduca pronto y se renueva; la caducidad es lo que limita el daño de una copia. La ficha de tokens declara, servicio por servicio, cuánto dura cada uno.

Un valor de caducidad como «nunca» no es una configuración neutra: es un hallazgo.

Uno de los fragmentos de código compara el token recibido con el esperado usando el operador de igualdad de cadenas. Esa comparación termina en el primer carácter distinto y filtra información por el tiempo que tarda, lo que permite adivinar el valor poco a poco desde fuera. El arreglo es la comparación en tiempo constante que ofrece la librería criptográfica.

Es el fallo del operador equivocado: aparece en sistemas nuevos igual que en los viejos, y se reconoce por el uso, no por el nombre del sistema.

La prioridad no la decide quien redacta a ojo: sale de cruzar el impacto del hallazgo con su exposición, en la matriz de la casa. El libro lleva, por cada hallazgo, el impacto y la exposición ya evaluados durante la semana. Cruzando los dos con la matriz sale una prioridad por hallazgo, y solo uno de los doce cae en la más alta.

Una prioridad que se explica con dos columnas de una tabla es una prioridad que otra persona puede revisar.

El comité lee la primera frase del informe y poco más, y el inglés técnico es la lengua de buena parte de los equipos y de los proveedores. Un resumen sólido dice qué se encontró, qué se sabe y qué no, y qué se recomienda, en ese orden y sin adjetivos. No afirma explotación que nadie comprobó: la revisión fue de lectura y no hay evidencia de abuso.

Se afirma lo que la evidencia muestra y se recomienda; lo que no se sabe se dice como límite, no se rellena.

El comité pregunta cuántos hallazgos requieren decisión esta semana. En la política de la casa, los de prioridad P1 y P2 entran en el plan inmediato, y los P3 y P4 se programan. Contar bien decide cuánto trabajo se pide y cuánto se defiende: ni se esconde un P2 ni se promociona un P4.

El número sale de la matriz aplicada al libro de hallazgos, fila por fila, no de la impresión de la semana.