Configuración embebida: endpoints de preproducción y modo de depuración

Entre la configuración de Colibrí aparece, junto a la dirección del servidor de producción, la de un entorno de preproducción. Que esté escrita en la versión que se publica es un hallazgo: los entornos de prueba suelen tener menos protección, datos de ejemplo y a veces trazas abiertas, y conocer su dirección revela infraestructura interna que la empresa no quería exponer. No es un secreto que dé acceso directo, pero es una puerta de más apuntada para quien mire luego contra el servidor.

La mitigación no es ofuscar la dirección: es separar las versiones. La build que se publica no lleva configuración de entornos de prueba; esa configuración vive solo en las versiones internas.

La configuración también deja activado el modo de depuración. En una versión de publicación eso significa mensajes de error detallados y registro extendido: no filtra acceso por sí mismo, pero facilita el análisis y, cuando algo falla, puede volcar en el error datos que no deberían verse. Es un hallazgo secundario, del mismo tipo que el endpoint de pruebas: no es una credencial, es higiene de la build. El arreglo es el mismo principio —la versión que se publica no trae modo de depuración—.

En Colibrí se anota junto al endpoint de preproducción, como parte del mismo descuido: configuración de desarrollo que se coló en la versión pública.

No toda la configuración embebida es un hallazgo. La dirección del servidor de producción tiene que viajar: la aplicación necesita saber con quién habla, y esa dirección es pública por naturaleza —cualquiera que use la aplicación la ve en el tráfico—. Marcarla como fuga sería el mismo ruido que marcar una clave pública o un identificador. El criterio es el de siempre: preguntar si el valor es algo que la aplicación debe llevar para funcionar, o un resto que se coló.

En Colibrí la dirección de producción se clasifica como configuración legítima; el entorno de preproducción y el modo de depuración, como descuidos. El informe se queda con los dos segundos.

Abre el laboratorio y lee la configuración embebida de Colibrí. Aísla el entorno que no debería haber viajado en una versión de publicación —el de preproducción—: junto a esa línea el analista anotó un código de la sala. Escríbelo tal cual.