Autorización, alcance y ética
Las técnicas de un pentester y de un atacante se superponen. Lo que cambia es la autorización por escrito, un alcance acordado y el deber de minimizar el daño.
La autorización va primero
Probar un sistema que no es tuyo, o ir más allá de lo que su dueño permitió, puede ser delito en la mayoría de las jurisdicciones, sin importar tu intención. Las leyes varían por país y pueden ser estrictas, así que esto no es asesoría legal: confírmalo con un abogado. La regla profesional es simple. Nunca pruebes nada sin permiso explícito y por escrito de alguien con autoridad para darlo, y nunca vayas más allá de lo que ese permiso cubre.
- Autorización por escrito del dueño del activo (para alojamiento de terceros o nube, revisa también la política de pruebas del proveedor).
- Un alcance definido: qué sistemas, direcciones, aplicaciones y cuentas están dentro y cuáles están explícitamente fuera.
- Una ventana de tiempo y una forma de detenerse: cuándo pueden realizarse las pruebas y quién puede interrumpirlas de inmediato.
- Un contacto designado del lado del cliente al que se pueda acudir si algo sale mal.
Reglas de compromiso
Las (RoE) convierten el permiso en límites prácticos. Acuérdalas antes del primer paquete.
engagement: evaluación externa de web y API del Q4
authorized_by: "CISO, Example Corp (carta firmada adjunta)"
window: { start: 2026-11-02T08:00:00Z, end: 2026-11-13T20:00:00Z, hours: "solo días hábiles" }
in_scope:
- https://app.example.com
- https://api.example.com/v2/*
- cuentas de prueba: [tester-a@example.com, tester-b@example.com]
out_of_scope:
- procesador de pagos de producción (tercero)
- pruebas de denegación de servicio
- ingeniería social de empleados
constraints:
- sin exfiltración de datos más allá de la prueba de acceso (un registro, redactado)
- limitar los escaneos a 10 solicitudes por segundo
- detenerse y llamar al contacto si se observa degradación en producción
emergency_contact: "+55 11 5555-0100 (SOC 24h)"
reporting: "hallazgos críticos reportados en 24 horas; informe final en 10 días hábiles"Principios éticos
- Minimiza el daño: prueba el problema con el menor acceso necesario. No leas, copies ni conserves datos reales de clientes que no necesites.
- Protege lo que encuentres: los hallazgos y cualquier dato tocado son confidenciales, se almacenan cifrados y se eliminan al final, según lo acordado.
- Sé honesto en el informe: no exageres ni ocultes nada, incluidos tus propios errores (por ejemplo, una prueba que causó una caída del servicio).
- Detente en el límite: si un camino lleva fuera del alcance, pide permiso en lugar de continuar.
- Prefiere pruebas seguras: demuestra el impacto con un marcador inofensivo o la lectura de un registro de prueba, no con acciones destructivas.
Bug bounties y divulgación
Un programa de bug bounty publica un alcance y reglas e invita a los investigadores a probar dentro de ellos, por lo general con recompensas; los términos del programa son tu autorización, y salirte de ellos la elimina. Cuando encuentres una vulnerabilidad en un sistema fuera de cualquier programa, repórtala de forma responsable por el canal de divulgación del dueño (un archivo security.txt, una dirección security@ o una política de ), da un plazo razonable para corregirla y no la explotes más ni publiques detalles antes de tiempo.
conexiones en el mapa
- Autorización, alcance y éticadelimitaMetodología de pruebas de penetración
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
Desbloquea
pon a prueba lo que entendiste
Cargando preguntas…