Redactar el hallazgo de federación con su corrección

El primer filtro de una revisión es descartar lo que no es un fallo. En federación hay varias cosas que parecen hallazgo y no lo son: el documento de claves públicas es público a propósito, el cuerpo de un token firmado se lee sin claves, y un identificador de entidad no es un secreto. Escribir cualquiera de esas tres como hallazgo le cuesta credibilidad al informe entero, porque el equipo técnico del cliente lo detecta en la primera lectura.

El criterio que lo decide está en la columna de condición: si para que haga daño no tiene que pasar nada, es que no hay daño que contar.

El segundo filtro es la evidencia. Un informe de pruebas afirma lo que se vio con la carta delante y lo cita; todo lo demás es hipótesis y, si vale la pena, se escribe como recomendación de revisar, no como hallazgo. Un borrador que acusa a un componente entero sin una sola prueba detrás es además el más caro de defender en la reunión de cierre.

Vuelve al laboratorio y mira la columna de evidencia.

Quedan cuatro borradores que sí son hallazgos. Ordenarlos no es ordenarlos por lo que suena peor, sino por cuánto se reduce el riesgo al corregirlos y con qué esfuerzo. Entre un servicio que acepta documentos sin firmar y una aplicación que no comprueba para quién se emitió el token, uno de los dos deja la puerta abierta a cualquiera que llegue y el otro exige ya tener una llave legítima.

El hallazgo del servicio que acepta documentos sin firmar es el que más tienta a exagerar. La redacción que se sostiene cita la prueba concreta del encargo, describe la condición y da la corrección; no afirma consecuencias que nadie midió ni promete resultados.