El alcance dentro del proxy

El contrato de alcance es lo que autoriza: dice qué hosts pueden probarse, qué se puede hacer con ellos y cuándo. La configuración de alcance de un proxy es una herramienta de orden: permite que el historial solo muestre lo que está dentro, que la interceptación solo pare peticiones del alcance y que ninguna herramienta de ataque se dispare por error sobre un host ajeno. Sirve para no equivocarse, no para tener permiso.

Una regla de alcance mal escrita en el proxy no cambia lo que el contrato permite, pero sí puede dejar pasar sin aviso peticiones a hosts que el contrato no incluye. Y al revés: un host que el proxy marca «dentro» no está autorizado por ello.

El error clásico es suponer que todo lo que vive bajo el dominio del cliente está incluido. No es así: un subdominio puede estar operado por otro proveedor, o por otro equipo, o simplemente no haberse incluido en la contratación. El contrato dice host por host.

Abre la consola y compara SELECT * FROM alcance_firmado con SELECT * FROM hosts_vistos. Busca el host del dominio de Tamarindo que el proxy registró y que el contrato deja fuera.

Hay varias formas de expresar el alcance dentro de un proxy, y se parecen mucho entre sí. La más estrecha enumera los hosts exactos. Una más ancha usa un comodín sobre el dominio y deja pasar todos sus subdominios. La más ancha de todas busca una palabra dentro del nombre, y deja pasar cualquier cosa que la contenga, incluso hosts de otras empresas.

La regla correcta es la que coincide con el contrato, ni más ancha, ni más estrecha. Consulta SELECT * FROM reglas_propuestas y compara con las filas «dentro» de la tabla del contrato.

Conviene medir cuánto de lo que registró el proxy cae fuera del contrato. No para borrarlo, sino para saber qué parte del historial es de terceros y no puede entrar en el informe como evidencia de pruebas, y para dimensionar el riesgo de que alguna herramienta lo toque sin querer.

Suma las peticiones de los hosts que el contrato deja fuera. La tabla hosts_vistos trae el total por host y alcance_firmado dice cuáles son.

El host administrativo registró tres peticiones, la última a una ruta de gestión de usuarios. Pasó porque el navegador siguió un enlace, no porque nadie lo probara. Lo que ocurre a partir de ahí marca la diferencia entre un profesional y un problema: se deja de interactuar con ese host, se anota qué se vio y cuándo, no se usa nada de lo que devolvió y se avisa al contacto del cliente por el canal acordado para que decida. Borrar las filas del historial no ayuda: el registro honesto es parte de la evidencia.