Lo que ve un escáner desde fuera

Una prueba dinámica (DAST, por Dynamic Application Security Testing) se hace contra la aplicación desplegada y funcionando, desde fuera, sin acceso al código. Envía peticiones, mira las respuestas y busca señales: cabeceras de seguridad que faltan, cookies mal marcadas, mensajes de error que cuentan demasiado, comportamientos que indican que una entrada llega sin tratar a una consulta. Ve lo que el despliegue produce de verdad: la configuración del servidor, las cabeceras que añade un proxy, lo que el análisis estático no puede saber porque no ocurre en el código.

A cambio, no entiende el negocio. No sabe qué cuenta es de quién, qué pasos de un flujo deben ir en orden ni qué precio es razonable. Y solo ve lo que alcanza: una pantalla a la que no llega no existe para él.

Antes de buscar fallos, el escáner tiene que descubrir qué hay. La araña clásica empieza en una dirección y sigue los enlaces y formularios que encuentra en el HTML. Una pantalla moderna, en cambio, carga sus datos con JavaScript: la llamada a la API sale del navegador, no de un enlace. La araña clásica no la ve; hace falta una araña que ejecute el JavaScript (ajax) o importar la definición de la API para darle la lista de operaciones directamente.

La forma de medir esto es comparar dos listas: lo que la aplicación declara y lo que el escáner visitó. La diferencia es cobertura que falta.

En el laboratorio tienes ambas listas de Mirasol Entradas.

El informe de Mirasol es de un baseline: un escaneo pasivo. La araña recorre durante unos minutos y el escáner solo observa las respuestas que recibe, sin enviar entradas modificadas. Por eso es rápido, seguro para un entorno compartido y apto para cada solicitud de fusión. Por eso, también, solo puede encontrar lo que se ve en una respuesta normal: cabeceras, cookies, formularios sin protección.

Para provocar y detectar fallos que dependen de cómo la aplicación trata una entrada —una inyección, un guion que reaparece sin escapar— hace falta el escaneo activo, que envía variaciones de las entradas y compara las respuestas. Es más lento, hace ruido y solo se lanza con autorización escrita contra un entorno que se pueda ensuciar.

La revisión manual de Mirasol encontró tres fallos. El escaneo dinámico detectó dos. El tercero es de otra familia: un fallo de control de acceso, donde una cuenta puede abrir lo que es de otra. El escáner no tiene forma de saber que la entrada de un cliente no debería abrirla otro: para él, una respuesta con éxito es una respuesta con éxito. Detectarlo exige conocer las reglas del negocio y probar con dos cuentas, que es lo que hizo la persona del equipo.

Esto marca el uso correcto del DAST: complementa al análisis estático y a la revisión humana, no los sustituye. Un informe sin hallazgos de esta clase no significa que no existan.