Los eventos de la autoridad que cuentan la historia

Una emisora en línea deja constancia de cada solicitud que recibe y de cada certificado que firma. La anotación es corta pero completa para lo que aquí interesa: el identificador de la solicitud, cuándo llegó, qué cuenta la hizo, desde qué equipo, con qué plantilla, qué nombre quedó en el certificado, qué nombres alternativos lleva y cómo terminó —emitida, pendiente de aprobación o denegada—.

Ese registro es la diferencia entre decir «esta plantilla permitiría pedir un certificado a nombre de otro» y decir «el 6 de noviembre se pidió uno a nombre de otro». Lo primero es un hallazgo de configuración; lo segundo cambia la conversación con el cliente, porque deja de ser un riesgo y pasa a ser algo que ya ocurrió y que hay que investigar con su equipo.

Conviene además leerlo con el ojo puesto en lo que no encaja, no en lo que más aparece. La cuenta que más solicitudes hace suele ser la más normal del dominio; lo raro es una fila cuyas columnas se contradicen entre sí.

Abre el laboratorio y lee la tabla solicitudes entera. Trece filas, una semana. En doce, el nombre alternativo del certificado corresponde a la cuenta que lo pidió; en una, no.

El certificado de esa solicitud lleva el nombre de otra cuenta del dominio. Para saber cuánto pesa el hallazgo hay que saber quién es esa cuenta y a qué grupos pertenece, y eso no está en el registro de la autoridad: está en la tabla de cuentas.

Antes de pasar a las correcciones hace falta un número: cuántos certificados firmó esa plantilla en la ventana del registro. Es el que se usará para hablar de revocación y reemisión con el administrador.

El registro no demuestra intención. Demuestra que un certificado salió a nombre de una cuenta distinta de la que lo pidió, y que la plantilla lo permitía. Lo que corresponde escribir es eso, con el identificador de la solicitud y la fecha, y una petición concreta al cliente.