Métodos HTTP y cabeceras de seguridad

El método OPTIONS devuelve la cabecera Allow con la lista de verbos que el servidor declara soportar. Sin embargo, un pentester debe comprobar si los métodos de modificación de contenido, como PUT o DELETE, se ejecutan de verdad sin credenciales o si están restringidos por la lógica de la aplicación.

En la tabla metodos, revisa los ensayos controlados realizados bajo la cláusula del acta ESU-PT-05 e identifica el host donde la petición PUT logró escribir un archivo inerte de prueba.

La cabecera Strict-Transport-Security (HSTS) obliga a los navegadores a comunicarse exclusivamente mediante conexiones cifradas HTTPS, mitigando ataques de degradación de protocolo y secuestro de sesiones. Cada host expuesto debe enviar esta cabecera con un tiempo de vida adecuado.

Examina la tabla cabeceras y localiza el host configurado con protocolo seguro que no emite ninguna directiva HSTS.

El parámetro max-age de HSTS especifica la duración en segundos durante la cual el cliente debe forzar el uso de HTTPS. Tiempos excesivamente cortos dejan ventanas de exposición tras períodos de inactividad del usuario.

En la tabla cabeceras, revisa el valor asignado a tienda.supata.example y calcula la cantidad de días correspondientes a los 604800 segundos configurados.