Tu página de administración está en internet

La mayoría de los sitios tienen partes que solo tú debes usar, como un panel de administración, un tablero o la conexión que usa tu app para leer su base de datos. Si están en la misma dirección pública que tu sitio, cualquiera puede encontrarlas.

Ser accesible no es un problema por sí mismo. El problema aparece cuando algo accesible también responde sin preguntar quién eres.

Qué busca un escaneo

• Una conexión de datos que devuelve registros sin iniciar sesión, como una tabla de la base de datos o una lista de usuarios que debería ser privada.
• Una API que responde a algunas peticiones con inicio de sesión y a las mismas peticiones sin él.
• Herramientas pensadas para desarrolladores, como una lista pública de todas las acciones de la API o un explorador de consultas, que se dejaron activas en el sitio real.
• Cookies de inicio de sesión visibles para los scripts de la página.

Esto aparece a menudo en apps creadas deprisa con servicios como Supabase o Firebase, donde las reglas de acceso empiezan abiertas mientras construyes y son fáciles de olvidar.

Qué hacer

Revisa las reglas de acceso de cada fuente de datos que usa tu app, para que cada una responda solo a personas que hayan iniciado sesión y estén autorizadas. Desactiva las herramientas de desarrollo en el sitio real. Cuando puedas, pon el panel de administración detrás de un inicio de sesión adicional o en una dirección que solo use tu equipo.

Un escaneo te dice qué respondió, con la petición que envió, para que tu desarrollador pueda repetirla.