Reportar hallazgos y conducir la remediación

Estructura de un informe

• Resumen ejecutivo: para lectores no técnicos. Qué se probó, el riesgo general en lenguaje claro, las pocas cosas que más importan y qué hacer primero.
• Alcance y método: qué estaba dentro y fuera del alcance, las fechas, el enfoque y cualquier limitación (lo que no pudiste probar).
• Hallazgos: una entrada para cada uno, ordenados por severidad, con un id único.
• Recomendaciones estratégicas: los patrones detrás de los hallazgos (por ejemplo, la ausencia de una capa central de autorización) y cómo corregir la causa, no solo las instancias.
• Apéndices: evidencias, salida de las herramientas y detalles de la metodología.

Un buen hallazgo

## F-01  Autorización rota a nivel de objeto en /api/invoices/{id}

**Severidad:** Alta (CVSS v3.1 8.1, AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N)
**Afectado:** https://api.example.com/v2/invoices/{id}
**Categoría:** OWASP API Security: Broken Object Level Authorization

### Resumen
Cualquier usuario autenticado puede leer y modificar las facturas de cualquier cliente cambiando el id.

### Impacto
Un atacante con una cuenta gratuita puede leer los datos de facturación de todos los clientes y alterar los totales de las facturas. Afecta a todos los clientes.

### Pasos para reproducir
1. Inicia sesión como tester-a y anota el id de una factura (1041).
2. Inicia sesión como tester-b y envía `GET /api/invoices/1041`.
3. La respuesta es 200 con la factura de tester-a.

### Evidencia
evidence/F-01-request.txt, evidence/F-01-response.txt

### Remediación
Autoriza en el servidor por propiedad en cada solicitud (acota la consulta al usuario autenticado). Devuelve el mismo 404 para "no encontrado" y "no es tuyo". Agrega una prueba de regresión con dos usuarios.

### Referencias
OWASP Top 10 A01 Broken Access Control

Clasificando el riesgo

Después del informe

• Presenta los hallazgos críticos a los ingenieros del cliente; una conversación resuelve dudas más rápido que un documento.
• Acuerda responsables y fechas, y da seguimiento a las correcciones en el propio issue tracker del cliente.
• Reteste: verifica que cada corrección realmente cierre el problema e informa el resultado. Es común que las correcciones solo bloqueen el caso de prueba exacto.
• Maneja los datos: entrega el informe de forma segura y elimina o devuelve los datos del cliente según lo acordado.
• Retroalimenta las lecciones: las causas raíz recurrentes deben convertirse en guía de diseño, pruebas y capacitación.