Falsos positivos y exclusiones acotadas

Un falso positivo es una petición legítima que una regla trata como maliciosa. No se resuelve apagando la regla: cada regla apagada es protección que se pierde. Se resuelve con una exclusión: una instrucción que dice «para esta regla, en esta ruta y en este parámetro, no se evalúa». Cuanto más estrecha, menos se pierde. Una exclusión bien hecha tiene cuatro rasgos: nombra la regla, limita la ruta, limita el parámetro y tiene una fecha de vencimiento.

La fecha obliga a volver a mirarla. La aplicación cambia, y una exclusión que nadie revisa se convierte en un agujero permanente.

Mira la columna alcance de exclusiones_propuestas. Una exclusión de todo el sitio equivale a apagar la regla para toda la aplicación. Si además no tiene fecha de vencimiento, nadie la volverá a mirar. Es la propuesta que Seguridad debería devolver con la petición de acotarla.

El alcance no solo se mide en «sitio entero» frente a «ruta»: también está el parámetro. Si los tickets muestran que un solo campo de un formulario produce los rechazos, excluir todos los parámetros de esa ruta abre sin necesidad los demás campos del mismo formulario.

Cruza bloqueos_legitimos, que dice qué ruta y qué parámetro dieron problemas, con exclusiones_propuestas.

Antes de excluir, se mide: cuántos tickets reales produce cada regla. Es lo que decide qué exclusión se hace primero y si el problema está en la regla o en la aplicación.

La exclusión quita una protección en un punto concreto. Se compensa: la aplicación debe tratar ese campo de forma segura por su cuenta (validar, y escapar al mostrar), el acceso a esa pantalla se limita a quien la usa y la exclusión se revisa al vencer: si la regla ya no produce falsos positivos allí, se retira.