Leer un informe de ZAP

Cada alerta de ZAP lleva dos etiquetas que se confunden. El riesgo (High, Medium, Low, Informational) dice cuánto dolería si fuera real. La confianza dice cuánto cree la herramienta que lo es. Una alerta de riesgo alto y confianza baja no es una urgencia: es una pregunta que hay que contestar a mano. Una de riesgo bajo y confianza alta es casi seguro un fallo menor y real.

Una alerta es pasiva si salta con solo mirar una respuesta (una cabecera ausente) y activa si ZAP tuvo que provocar la respuesta. Las activas suelen tener más peso y más posibilidad de equivocarse.

Un informe con diez alertas se ordena por riesgo, pero no se lee de arriba abajo: se busca primero la que, de ser verdadera, cambia la decisión. En el informe de Mirasol hay alertas de cabeceras que faltan, de cookies y de datos que reaparecen. Entre ellas, una única alerta de riesgo alto, y es una de las que salta por provocación, no por observación.

Una alerta no es una fila: es una regla que saltó en varios sitios, y cada sitio es una instancia. Una cabecera ausente salta en cada página; es un hallazgo con muchas instancias, no cuarenta hallazgos. Contar mal produce dos errores opuestos: asustar con «setenta alertas» o creer que solo hay diez problemas cuando uno ocurre en dos endpoints distintos.

Las dos cifras sirven. Los hallazgos distintos miden el trabajo de entender; las instancias miden cuánto cambiar. Sumar las instancias es el primer paso de cualquier estimación.

El informe no trae veredictos; los trae la revisión manual. En ella una persona abrió el código y la aplicación y decidió, alerta por alerta, si era real. Una regla se marca falso positivo cuando la forma coincide con la de un fallo pero no hay nada que explotar: por ejemplo, números que parecen marcas de tiempo del servidor y son fechas de eventos. Se anota el motivo, para que la próxima persona no repita el análisis.

Una alerta con veredicto por confirmar no es un falso positivo ni un hallazgo: es trabajo pendiente, y se escribe así.

Cada instancia lleva su dirección, el método, el parámetro afectado y la evidencia, que es lo que respondió la aplicación. Y lleva algo más útil para quien administra el pipeline: cómo se descubrió esa dirección. Una instancia que solo aparece porque se importó la definición de la API es una advertencia: sin esa importación, el escáner no la habría visto.

Esa columna dice qué parte del pipeline no se puede quitar sin perder cobertura.