Detectar una fuga entre inquilinos en los registros

Un registro que solo guarda el cliente de la sesión dice quién preguntó, no qué se le entregó. Con eso no se distingue una respuesta normal de una con datos ajenos: las dos tienen el mismo cliente, la misma ruta y el mismo 200. La señal aparece cuando cada línea guarda también el cliente dueño del recurso devuelto (en un listado, el de las filas) y la suplantación activa, si la hay. Entonces la condición de una fuga se puede escribir: los dos clientes no coinciden, la respuesta entregó datos y no hay un acceso de soporte autorizado que lo explique.

Los intentos negados también cuentan, pero cuentan otra cosa: un 403 entre clientes dice que alguien probó y el control funcionó. No es una fuga; es una señal de que alguien busca.

Lee formato-registro.txt, luego registro-api-2026-11-14.txt con suplantaciones-2026-11-14.txt al lado. Cuenta las respuestas que entregaron datos de un cliente distinto al de la sesión sin una suplantación que las cubra.

Las fugas de los clientes no están repartidas por toda la API. El encargo dice qué cambió el día anterior.

Lee regla-borrador.txt y pásala, línea por línea, por las cinco respuestas que contaste.

El equipo pregunta cómo dejar la regla antes de activarla.