Fallar cerrado frente a fallar abierto

Un control falla cerrado cuando, ante un error o una falta de respuesta, niega lo que estaba protegiendo: la puerta queda cerrada hasta que el control vuelve. Falla abierto cuando, ante el mismo error, concede: la puerta queda abierta para todos mientras el control no está. MITRE cataloga el segundo caso como CWE-636 (no fallar de forma segura), y el Top 10 de OWASP de 2025 lo incluye en A10:2025, la categoría sobre el manejo de condiciones excepcionales.

El fallo abierto casi nunca se escribe a propósito. Aparece en un except que devuelve verdadero, en un valor por defecto que vale «permitido», en una decisión de producto tomada para que la operación no se detenga. Por eso se busca en dos sitios: en el código que trata los errores de un control y en las decisiones de arquitectura que dicen qué hacer cuando algo no responde.

Una función de permisos con varios bloques de error puede fallar cerrado ante uno y abierto ante otro, y a simple vista parece prudente porque «niega cuando no hay conexión». Hay que leer cada rama: qué excepción captura y qué devuelve.

Abre permisos.txt y recorre cada bloque de la función.

Un fallo abierto no deja huella como ataque: deja acciones permitidas que, con el control en pie, se habrían negado. Para medirlo se cruza el registro de la caída con la matriz de roles: cada acción concedida durante la ventana se compara con lo que ese rol puede hacer. Y la prueba que lo confirma suele estar justo después, cuando el control vuelve y la misma acción se niega.

Abre registro-panel.txt. Ojo: no todo el que anuló un cobro durante la caída lo hizo sin derecho.

Fallar cerrado no es una regla ciega. Hay casos en los que negar es peor que conceder: una puerta de emergencia, un equipo médico, una barrera que retiene vehículos en una vía. Lo que separa una decisión defendible de una cómoda es si lo que se pierde al fallar abierto se puede recuperar y si alguien analizó las consecuencias por escrito.

Abre adr-017.txt y lee las dos decisiones con su motivo.

El informe del panel necesita una clasificación precisa. No es un problema de permisos de más ni de un valor por defecto: la matriz de roles está bien escrita y se cumple cuando el servicio responde. El defecto está en lo que la aplicación hace cuando el control no contesta.