Lo que un escáner dinámico ve y lo que no

Un escáner dinámico sabe dos cosas: qué mandó y qué le respondieron. Con eso detecta bien lo que deja huella en una respuesta: una cabecera que falta, una cookie sin atributos, un valor que vuelve sin codificar, un error que muestra el interior de la aplicación.

Lo que no puede saber es lo que no está en la respuesta: de quién es el extracto que acaba de descargar, si el monto que envió supera el cupo de ese asociado, si un asesor de esta oficina debería ver a un asociado de otra. Para juzgar eso hace falta conocer las reglas del negocio y quién es dueño de cada dato, y el escáner no las tiene. Por eso el control de acceso entre usuarios y la lógica del negocio se revisan a mano o con pruebas escritas para ese fin.

El escáner solo prueba lo que descubre, y descubre siguiendo enlaces y ejecutando la página. Lo que se arma en el navegador después de una acción concreta del usuario (elegir un año en una lista, abrir un panel) puede no aparecer nunca. Por eso el árbol del escáner se compara con un inventario sacado del código, que es la fuente de verdad.

Abre el laboratorio y compara inventario-rutas.txt con arbol-del-escaner.txt. Algunas rutas faltan porque la autorización las excluye, y eso es lo esperado.

Lee hallazgos-manuales.txt. Son cuatro fallos reales de 2025, ya cerrados. La pregunta útil para la gerencia no es si el escáner los habría encontrado todos, sino cuál habría encontrado solo, sin que nadie le explicara el negocio.

La cobertura de un escaneo se mejora dándole más puntos de entrada: la definición de la API, la lista de rutas del inventario o una navegación grabada que pase por la acción que la araña no hace. Lo que no se resuelve con el escáner, la autorización entre usuarios y la lógica del negocio, se queda en la revisión manual y en las pruebas de autorización del propio código.