Alcance y autorización

Escanear un sistema ajeno, o uno propio sin permiso del dueño, es un acto que puede tener consecuencias legales y operativas. Una autorización útil es un documento corto y concreto: quién autoriza, qué objetivos entran y cuáles quedan fuera de forma expresa, cuándo (días y horas), desde qué origen lo hará el escáner y a quién avisar si algo se degrada. «Podéis escanear lo que haga falta» no es una autorización.

Los servicios de terceros —una pasarela de pagos, una API de un socio— nunca los autoriza el equipo de la aplicación: no son suyos. Salen de la lista aunque la aplicación los llame.

En el plan de Mirasol el contexto del escaneo dice qué direcciones se atacan mediante una expresión regular de inclusión. El plan quería decir «el entorno de pruebas», pero la expresión que escribió es más ancha que eso: describe cualquier subdominio de la empresa. La araña encontró un enlace del pie de página que apuntaba a otro sitio de la misma empresa, la expresión lo aceptó y la araña lo siguió.

El registro de la araña muestra todo lo que visitó y qué omitió por quedar fuera del contexto. El registro del balanceador del otro lado confirma qué llegó a producción.

La regla es que el alcance se declara por exclusión de todo lo demás: se nombra el host exacto y se escapan los puntos de la expresión, en vez de aceptar «cualquier cosa que termine en el dominio de la empresa». Un comodín es cómodo hoy y es la causa del incidente de mañana, porque el día que se cree otro subdominio, el escáner también irá allí. Se añade, además, una segunda barrera: el ejecutor solo puede salir hacia la dirección del entorno de pruebas (una regla de red), de modo que un error en el plan no baste.

Dos barreras independientes, el plan y la red, son lo que convierte un descuido en un registro de «conexión rechazada».

La autorización de Mirasol nombra a una persona de guardia durante la ventana. No es quien autoriza: es quien está despierta a las 23:00 cuando el escaneo degrada el entorno. Tener a esa persona escrita antes es lo que permite parar el escaneo sin discutir de quién es la decisión.

Cuando el alcance falla, lo primero es medir el daño. El origen del ejecutor está en la autorización, así que el registro del balanceador de producción permite contar exactamente las peticiones que el escáner hizo allí, separándolas del tráfico normal de clientes. Esa cifra va en el informe de la incidencia, no una estimación.