Lo que se escapa por el lado del cliente

Lo que un desarrollador escribe como comentario para si mismo viaja al navegador junto con el resto de la pagina. En la pagina guardada de Monteapps hay un comentario HTML que apunta a una ruta interna de administracion y a un servidor de pruebas. Para el auditor eso es exposicion de informacion: un mapa gratis de la estructura interna, servido a cualquiera que abra el codigo fuente de la pagina. No hay que adivinar nada, esta escrito.

Abre la pagina guardada y lee los comentarios. La pista no esta en lo que se ve pintado, sino en lo que el navegador descarga y no muestra.

Una clave de acceso, un token o una contrasena no deben vivir en un archivo que el navegador descarga. En app.js de Monteapps hay una clave de un servicio embebida en el codigo que se sirve al cliente: cualquiera que abra el script la lee. El auditor lo clasifica como secreto expuesto en el lado del cliente y recomienda sacarlo del archivo publico y moverlo al servidor, donde el navegador no llega.

Un secreto en el cliente se considera comprometido desde que se publica: no hay forma de esconderlo una vez que viaja al navegador.

El error tipico del reconocimiento es medir solo lo que la pagina pinta. Un comentario, un script o un archivo de configuracion no aparecen en la pantalla, pero se sirven igual y cuentan lo mismo. El auditor revisa las tres superficies —lo pintado, lo descargado y lo listado— antes de dar por hecho que no hay fuga. Fijarse solo en la pantalla deja fuera justo lo que mas delata.

El criterio es simple: lo que el servidor entrega es superficie, lo pinte o no.

El hallazgo de las fugas del lado del cliente queda anotado en su propia nota de triaje, aparte de la del respaldo. Abre en el laboratorio la carpeta auditoria de Monteapps, localiza la nota que describe el comentario interno y la clave en el JavaScript, y lee el codigo del hallazgo con el que cierra.