Servicios en línea para la ciudadanía

En un servicio ciudadano la disponibilidad es parte del derecho: si el portal cae la última semana del descuento del predial, miles de personas pagan más o hacen fila. Por eso un encargo público suele prohibir pruebas de carga o de disponibilidad sobre producción y elige la ventana lejos de los picos del calendario. Esa decisión no es timidez del evaluador; es parte del alcance.

Revisa el calendario tributario: ahí está la razón de la ventana acordada.

La guía de pruebas web de OWASP dedica una sección a la autorización: comprobar que cada usuario solo alcanza lo que es suyo. En un portal de trámites el objeto protegido es un certificado, una liquidación o un formulario de un hogar, y un fallo ahí entrega datos de un ciudadano a otro. La forma correcta de demostrarlo es con dos cuentas de prueba que la entidad creó para el encargo: si una recibe lo de la otra, el fallo está probado sin tocar los datos de nadie real.

Lee los resultados que registró el equipo.

No todo trámite sin inicio de sesión es un problema. Horarios, normas municipales o la verificación de un certificado que solo responde «válido» son información pública por diseño. Lo que sí es hallazgo es un trámite abierto que entrega datos personales de un ciudadano a cualquiera que tenga un identificador, porque ese identificador no es un secreto.

Al redactar un hallazgo de un servicio ciudadano conviene decir a quién afecta y cuánto, no solo qué falló. Un certificado de residencia trae nombre y dirección: datos personales de cualquier persona registrada, al alcance de cualquier otra persona registrada. La remediación va a la causa, que es que el servidor no comprueba de quién es el documento antes de entregarlo.