EJEMPLO DE RESULTADO PARA EL CLIENTE
Este ejemplo ficticio muestra qué recibe el cliente: impacto de negocio claro, confirmación técnica, recomendaciones para su equipo y un estado separado tras repetir la prueba.
Un usuario autenticado normal puede cambiar un identificador y obtener un objeto de otra cuenta. El hallazgo fue validado manualmente en el contexto acordado.
CÓMO LEER UN HALLAZGO
Estos cuatro bloques dan una respuesta única: qué ocurrió, por qué es posible, qué importancia tiene y qué hacer después.
El endpoint acepta un identificador pero el servidor no verifica la propiedad del usuario actual. Se registran ruta, rol, entorno y requisitos.
Un usuario autenticado cambia el identificador y accede a un objeto de otra cuenta. El escenario se documenta paso a paso.
Están en riesgo la confidencialidad de clientes, la confianza y los procesos de datos personales. Se indican activos y roles afectados.
El escenario está al alcance de una cuenta normal, no requiere privilegios y puede afectar muchos objetos con la misma lógica.
Impacto breve en negocio, datos, clientes y obligaciones.
Condiciones, reproducción, causa raíz y recomendaciones.
Prioridad, propietario de la acción y estado tras los cambios.
GUÍA Y REPETICIÓN
Explicamos causa raíz y recomendaciones. El cliente o proveedor acordado implementa los cambios; después repetimos el escenario original.
El servidor autoriza cada objeto y no confía en el identificador del cliente. Los objetos ajenos reciben la misma denegación segura.
Roles y propiedad viven en una capa común, evitando diferencias entre endpoints.
El equipo cliente añade pruebas entre cuentas, roles y organizaciones, incluidos métodos vecinos.
Tras los cambios, repetimos la solicitud y variantes cercanas, registrando cerrado, parcial o aún expuesto.
QUÉ RECIBE EL CLIENTE
No solo una página de hallazgo: materiales conectados para decidir, corregir y controlar el resultado.
Riesgo global, escenarios críticos, procesos afectados y prioridades.
Hallazgos validados con condiciones, impacto, evidencia y recomendaciones.
Estado, prioridad, activo y propietario de la siguiente acción.
Solicitudes, respuestas y contexto seguros sin secretos innecesarios.
Cerrado, parcialmente cerrado o riesgo aún presente.
Explicación del informe y aclaración de recomendaciones.
