Cómo calificamos los hallazgos

Cada hallazgo de un informe de Lockpick lleva una gravedad, un veredicto y una confianza. Responden a preguntas distintas. La gravedad dice lo malo que sería. El veredicto dice si vimos todo. La confianza dice lo fuerte que es la evidencia. Pulse y Deep aplican las mismas reglas.

Gravedad

La gravedad usa una sola escala, la misma en la app, en la documentación y en la API. De más a menos grave es Crítica, Alta, Media, Baja e Informativa. Hoy Pulse y Deep califican los hallazgos hasta Alta. Crítica se usa para los avisos de Monitor, y un aviso de Monitor sin gravedad publicada se muestra como Sin calificar.

Un hallazgo se califica como alto solo cuando el escaneo muestra una de estas cosas.

• Datos que cualquiera puede leer. Algo respondió con datos a una petición sin inicio de sesión, sin cookie y sin credencial.
• Un cliente que llega a otro. Datos o acciones que cruzan de una cuenta o inquilino a otro.
• Una credencial o sesión expuesta. Una clave secreta, un archivo de configuración con credenciales, o una sesión entregada a alguien que nunca inició sesión.

Apoderarse de una dirección de tu dominio también cuenta, cuando podemos ver que la dirección está libre para reclamarla. Quien la reclame sirve páginas en tu dominio real y recibe cookies establecidas para todo él.

Estos nunca se califican como altos por sí solos.

• Cabeceras de seguridad que faltan, marcas de cookies y huecos en Content Security Policy
• Ajustes de TLS y advertencias de certificados
• Revelación de la versión del software y de la tecnología, incluida una versión de biblioteca que coincide con un aviso
• Listados de directorios, trazas de pila y páginas de error
• Redirecciones abiertas
• Ajustes de autenticación del correo como DMARC y SPF

Los informamos igualmente, con gravedad media o inferior, porque son huecos reales y baratos de cerrar. Cuando otra evidencia observada completa una historia más grande, el informe la cuenta como una cadena de ataque en lugar de subir la gravedad del hallazgo aislado.

Qué debe mostrar un hallazgo confirmado

Cada tipo de hallazgo tiene una prueba con cuatro partes.

Para una tabla abierta de Supabase, el origen es la clave anónima que tu paquete de cliente incluye por diseño, el control más cercano es la seguridad a nivel de fila, el destino es una lectura sin autenticar que devolvió filas, y el impacto es lo que contienen las columnas devueltas.

Un hallazgo es confirmado solo cuando el escaneo observó cada parte. Cuando una parte se dedujo en lugar de verse, el hallazgo se marca como necesita revisión y dice qué parte sigue abierta. Un tipo de hallazgo sin prueba definida nunca se confirma. Un hallazgo es no accionable solo cuando tenemos evidencia positiva de que su afirmación no se aplica. La falta de evidencia nunca basta para eso, y Pulse y Deep hoy no registran tal evidencia, así que sus hallazgos son confirmados o necesitan revisión.

La prueba que ves la escribe Lockpick para ese tipo de hallazgo. Nunca cita un secreto, el cuerpo de una respuesta ni cómo se ejecutó el escaneo.

Qué certeza tenemos

• Alta. Una respuesta de tu sitio mostró la propia exposición.
• Media. Un registro público o un patrón en tu contenido apunta a ella.
• Baja. Se deduce de cabeceras, versiones o de lo que una API dice de sí misma.

Una segunda lectura que muestra lo mismo otra vez sube la confianza un escalón. Una segunda lectura que no lo muestra la baja un escalón y mantiene el hallazgo en revisión.

Cómo valoramos la urgencia

Cada hallazgo también dice cuándo arreglarlo, en cuatro niveles. La gravedad dice qué tan malo sería. La urgencia dice si debes dejar lo que estás haciendo.

• Arréglalo ya. Para y arréglalo hoy. Se puede llegar a datos de clientes, cuentas o claves. Por ejemplo, una clave filtrada, una base de datos o API abierta, hashes de contraseñas o una cadena de ataque que observamos.
• Arréglalo esta semana. Alguien podría usarlo en tu contra. Cualquier otro hallazgo alto y los hallazgos medios que se pueden usar directamente o con una víctima, como un correo que se puede suplantar.
• Cuando puedas. Facilita un ataque. Por sí solo no es un ataque. Faltan cabeceras de seguridad, atributos de cookies y otras protecciones, y hallazgos bajos.
• Nada que hacer. Conviene saberlo. No hay nada que arreglar.

Un skill, plugin, marketplace o servidor MCP no es tu código para arreglar. Estás decidiendo si instalarlo, así que su comprobación dice los mismos cuatro niveles con palabras sobre instalar.

• No lo instales aún. Esto es lo que hace inseguro instalarlo, un hallazgo crítico que confirmamos o uno que está en un hook. Espera a que lo arreglen o elige otro.
• Revísalo antes de instalar. Lee esta parte, o pregunta al autor, antes de instalar.
• Conviene saberlo. No es motivo para esperar. Ayuda saber lo que hace.
• Nada que hacer. No hay nada que revisar.

Un hallazgo nunca es más urgente que el veredicto de arriba. Con Nada riesgoso encontrado, cada hallazgo dice como mucho Conviene saberlo. Con Instalar con cuidado, un hallazgo dice como mucho Revísalo antes de instalar. Solo lo que hace que un repositorio sea No instalar dice No lo instales aún. Un repositorio de app mantiene las palabras de arriba, de Arréglalo ya a Nada que hacer.

Al lado, cada tarjeta dice en una palabra qué tan seguros estamos. Confirmado significa que lo vimos entero, o que lo volvimos a ver en una segunda lectura. Probable significa que lo vimos una vez, o que una parte sigue abierta. Posible significa que apunta a un problema que no pudimos confirmar.

Un grupo de hallazgos es tan urgente como su miembro más urgente. La insignia de arriba del informe es su tarjeta más urgente, así que solo dice Arréglalo ya cuando una tarjeta lo dice. La comprobación rápida, Skill Check, los correos, la CLI y las herramientas MCP usan las mismas palabras. La urgencia nunca cambia la nota ni el orden de la lista.

Qué corregir primero

El informe enumera lo que corregir según lo directamente que alguien podría usarlo, no según la etiqueta de gravedad.

1. Hallazgos que cualquiera puede usar por sí solo, primero los confirmados
2. Hallazgos que necesitan una víctima o un segundo paso, como un correo que puede suplantarse
3. Huecos de endurecimiento que facilitan el trabajo a un atacante

Dentro de cada grupo, los hallazgos confirmados van antes que los que necesitan revisión, la evidencia más fuerte antes que la más débil, y solo después la gravedad más alta.

Qué puede demostrar volver a comprobar

Revisar de nuevo compara un escaneo nuevo con el anterior, y Volver a leer este registro compara una lectura nueva de tus registros DNS públicos con el hallazgo anterior. Cada hallazgo anterior acaba en uno de tres estados.

• Corregido. El recurso o registro detrás del hallazgo se volvió a leer, y el hallazgo no estaba.
• Sigue abierto. Se volvió a detectar el mismo hallazgo.
• No concluyente. La nueva lectura no pudo leer aquello en lo que se apoya el hallazgo, o los dos escaneos no se pueden comparar.

Un hallazgo nunca se marca como corregido porque se cerró un ticket o se marcó una tarea. Quitar una clave expuesta de tu sitio no la revoca, así que rótala también con su proveedor.