Errores, banners y separación de entornos

En desarrollo conviene que un error muestre la ruta del archivo, la línea y la consulta, porque quien escribe el código necesita eso para arreglarlo. En producción, el visitante es cualquiera, y el mismo detalle es un plano gratis: nombres de carpetas, tecnologías, a veces el nombre de un servidor interno o parte de una consulta. Por eso el criterio es siempre el mismo: al visitante, un mensaje corto y neutro con un identificador del incidente; al equipo, el detalle completo en un registro que el visitante no ve.

Este fallo tiene nombre en la clasificación de debilidades: generación de un mensaje de error con información sensible (CWE-209).

Abre respuesta-error.txt. Arriba hay un banner, la cabecera que anuncia servidor y versión, que se anota y se oculta como cualquier otra fuga pequeña. Más abajo, la respuesta guardada muestra una traza que incluye la cadena de conexión de la aplicación a su base de datos. Un auditor no necesita probar nada más: con esa línea ya sabe qué motor usa la tienda, cómo se llama el usuario de la aplicación y a qué servidor interno se conecta, y todo eso lo ha entregado el propio error.

La hoja comparativa-entornos.txt pone los mismos ajustes de los tres entornos en una tabla. Un ajuste de depuración encendido en producción es lo que hace posible el error de la tarea anterior, y una clave de base de datos que es la misma en los tres entornos significa que quien tenga acceso a desarrollo, donde se es más descuidado, tiene también la llave de producción.

El número de ajustes de producción que repiten el valor de desarrollo mide cuánto del entorno de producción nunca se endureció.

El permiso de una carpeta decide quién puede dejar archivos en ella. Una carpeta donde escribe cualquier usuario del sistema es un riesgo aunque la aplicación funcione: otro proceso, otra cuenta o una subida mal validada pueden dejar contenido que el servidor luego lee. La regla es dar a cada carpeta el permiso mínimo: la aplicación escribe donde necesita escribir, y el resto del árbol es de solo lectura.

Abre permisos.txt y lee la primera columna, el modo. Tres grupos de tres letras: dueño, grupo y todos los demás.

La fila de datos de la hoja de ajustes muestra algo que no es un ajuste sino una decisión: el entorno de pruebas trabaja con una copia de los datos de producción. Un entorno de pruebas tiene menos controles, más personas con acceso y registros más ruidosos; copiar ahí datos reales de clientes extiende el alcance de una posible fuga a un lugar mal protegido.

La separación de entornos significa tres cosas a la vez: ajustes propios de cada uno, claves distintas y datos que no viajan de producción hacia abajo sin anonimizar.