Revisa el portal con las cuatro preguntas

Abre el laboratorio y recorre el sitio como lo recorrerías en una revisión de verdad. Empieza por lo que hay:

dirb http://clinica-meridiano.local

Tres rutas responden. Ahora ábrelas una por una en el navegador y contesta la primera pregunta para cada una: ¿debería poder ver esto alguien que no se ha identificado?

• / — el portal del paciente. Muestra un nombre, una historia y una cita. Ya es discutible que se vea sin identificarse, pero al menos es de una persona.
• /avisos — comunicados públicos. Perfecto, es para eso.
• /agenda-interna — la agenda del día con cuatro pacientes. No.

Y ahora el matiz que se aprende revisando y no leyendo: el portal del paciente también es un hallazgo, más pequeño.

Muestra el nombre completo y el número de historia de Amparo sin pedir nada. Puede ser una decisión consciente (una demo, una pantalla de prueba) o puede ser el mismo fallo un grado más suave. En un informe se anota igual, con su gravedad: no es lo mismo filtrar una persona que cuarenta, pero tampoco es cero.

Un revisor no clasifica en «fallo» y «no fallo». Gradúa.

La agenda interna muestra cuatro pacientes con su hora, documento parcial, servicio y profesional.

Ya sabes de dónde salieron: de una base de datos, consultada en el momento. La página no los tiene escritos.

Y eso abre la segunda pregunta en su forma útil: ¿qué controla el usuario de esa consulta?

En la agenda tal como está, aparentemente nada: pide la página y salen las citas de hoy. Pero fíjate en lo que tendría que existir para que esa pantalla sirva de verdad en una clínica:

• Filtrar por profesional
• Filtrar por fecha
• Buscar un paciente

Cada uno de esos tres es un dato que llegaría del usuario y acabaría en la consulta. O sea, tres sitios donde vive la posibilidad de una inyección, y tres sitios donde hay que comprobar que el filtro no permita ver lo que no toca.

Ese razonamiento —mirar lo que falta y preguntarse qué traería— es lo que distingue una revisión de una lista de comprobación. Las pantallas crecen, y los fallos entran con las funciones nuevas.

Las dos últimas se contestan mirando el sitio con otros ojos.

¿Qué quedó como venía? En este escenario lo evidente es la propia /agenda-interna: una pantalla interna que quedó accesible porque nadie decidió cerrarla. Es configuración, no código — igual que el respaldo con permisos abiertos del módulo 3.

¿Qué versión es esto? En el laboratorio no hay banner de versión, y eso también se anota: la ausencia de información es un dato. Un sitio que no dice su versión es un sitio menos fácil de perfilar, y eso es correcto.

Ahora júntalo todo, porque este es el informe que saldría de la revisión:

Y fíjate en la última columna, que es donde está el oficio: dos hallazgos son la misma causa. Un informe que los lista como problemas separados hace perder el tiempo; uno que dice «estos dos se arreglan con la misma comprobación» se puede accionar en una tarde.

Ese es el cierre del módulo: las cuatro preguntas encuentran los fallos. Agruparlos por causa es lo que hace que se arreglen.