Configuraciones peligrosas y cómo se leen en una exportación

Al revisar plantillas conviene reducir el juicio a cuatro preguntas de sí o no.

Una. ¿El certificado sirve para autenticar a una persona o a un equipo? Si no, el peor caso es otro: firmar correo o cifrar archivos no permite presentarse ante nadie. Dos. ¿El nombre del titular lo propone quien solicita? Si lo construye la autoridad desde el directorio, el certificado sale siempre a nombre de quien pidió. Tres. ¿La inscripción está abierta a un grupo amplio? No es lo mismo seis personas que el dominio entero. Cuatro. ¿Se emite sin que nadie mire, es decir, sin aprobación de un responsable y sin firmas previas?

Cada condición por separado es común y no dice gran cosa. Tres de las cuatro siguen siendo el día a día de cualquier dominio: la plantilla de usuario autentica, está abierta a todos y se emite sola, pero el nombre lo pone la autoridad. La gravedad aparece cuando se juntan las cuatro, porque entonces la frase que describe la plantilla deja de ser «cualquiera pide un certificado a su nombre» y pasa a ser «cualquiera pide un certificado al nombre que escriba». Y un certificado a nombre de otra persona, con el uso que el controlador de dominio acepta, es una credencial de esa persona que dura lo que diga la vigencia.

Abre el laboratorio y mira la tabla revision: es la exportación de la sala anterior con las cuatro preguntas respondidas. Antes de buscar la fila mala, cuenta las normales: sirve para no llenar el informe de ruido y para poder decirle al cliente, con número, qué parte de su configuración está bien.

Una sola plantilla reúne las cuatro. Es el hallazgo crítico del encargo y, por la cláusula de entrega de la carta, el que se avisa en caliente sin esperar al informe.

Hay un segundo permiso que no aparece en la plantilla y la decide igual: el que se tiene sobre el objeto de la plantilla en el directorio. Quien pueda escribir sus propiedades puede cambiar su propósito, abrir su inscripción o quitar la aprobación. Una plantilla hoy correcta protegida por un permiso ancho es un hallazgo aunque hoy no tenga ninguna de las cuatro condiciones, porque mañana puede tenerlas todas sin que nadie firme un cambio.

En Guateque, una de las plantillas tiene escritura concedida a un grupo que no es de administradores —el mismo grupo heredado de 2024 que ya aparecía en la tabla de grupos de la sala anterior—.

La exportación termina con los ajustes que no son de una plantilla sino de toda la autoridad. Uno de ellos merece un hallazgo propio: hace que la condición del nombre propuesto deje de depender de la plantilla. Léelos todos antes de decidir, porque otro de esos ajustes es el que permitió la sala 5 y otro es el que limita la corrección de la sala 6.