Datos sensibles que viajan donde no deben

En la captura de Colibrí hay una petición que lleva el token de sesión dentro de la dirección, como un parámetro de la consulta, en vez de en la cabecera de autorización. El canal va cifrado, así que nadie en la red lo lee al vuelo, pero una dirección con un token dentro se escribe en sitios que no están cifrados: los registros del servidor y de los intermediarios, el historial, la cabecera que dice de dónde vino la petición. El token queda copiado en lugares donde cualquiera con acceso a esos registros lo recupera, aunque el tráfico en sí fuera seguro.

La mitigación es enviar el token en la cabecera de autorización y nunca en la dirección. La cabecera no se registra como parte de la URL ni se guarda en el historial; la dirección sí.

Otra petición de Colibrí pide el perfil del usuario, y la respuesta devuelve el nombre, el correo, el teléfono, la dirección y el documento. La pantalla solo muestra el nombre: el resto viaja, se queda en el dispositivo y lo ve cualquiera que mire el tráfico, aunque la interfaz no lo pinte. Es exposición de datos de más: el servidor devuelve todo el registro del usuario cuando el cliente solo necesitaba una parte. El problema no es que la pantalla los oculte bien o mal, es que nunca debieron viajar.

La mitigación está en el servidor: devolver solo los campos que el cliente usa en esa pantalla. Recortar la respuesta en el cliente no sirve —el dato ya llegó al dispositivo—; se recorta en el origen.

Es fácil mirar estos dos hallazgos y pensar en reforzar el cifrado, pero el canal de Colibrí ya cumple: nadie en la red lee el tráfico. Lo que falla es otra cosa —qué dato viaja y dónde queda escrito—, y eso no se arregla cifrando más. Un token en la dirección seguiría escribiéndose en los registros con el cifrado más fuerte del mundo; una respuesta con datos de más seguiría trayéndolos. El criterio de la sala es separar la protección del canal, que está bien, del contenido que viaja, que es donde está el problema.

En Colibrí el informe no toca el cifrado: señala el token mal colocado y los datos de más, cada uno con su arreglo en el sitio correcto.

Abre el laboratorio y recorre la captura de datos sensibles de Colibrí. Aísla la petición que lleva el token de sesión dentro de la dirección, en vez de en la cabecera: junto a la revisión de esa petición hay un código de la sala. Escríbelo tal cual.