LecturaQué lleva una carta de autorización
La carta más corta que he recibido tenía una página y media, y no le faltaba nada. La más larga tenía catorce y no decía quién podía detener la prueba. El largo no importa; importan los componentes.
Quién firma
La carta la firma el dueño del activo o alguien con poder para obligar a la organización. En una sociedad anónima costarricense eso es su representante legal o un apoderado, y la facultad se comprueba con la certificación de personería, no con el cargo de la firma del correo. El gerente de TI que le contrató puede ser su mejor contacto técnico y no tener facultad para autorizar.
Hay un segundo dueño que se olvida seguido: si el servidor está en un hosting compartido, en la nube o lo administra un proveedor, ese tercero también decide. Lo verá en la próxima lección.
Alcance: adentro y afuera
El alcance es una lista cerrada. No «la red de la empresa», sino direcciones, dominios, aplicaciones y cuentas concretas:
INCLUIDO
203.0.113.10 vpn.cafedelvalle.ejemplo.cr prueba externa
192.0.2.0/24 red de oficinas prueba interna
EXCLUIDO
192.0.2.30 facturación electrónica no se tocaLa exclusión cae dentro de un rango incluido, y es lo normal: hay un equipo frágil o crítico en medio de la red y la única forma de protegerlo es nombrarlo. Lo que no está en ninguna de las dos listas no está autorizado.
Ventana, contactos y vigencia
La ventana lleva fechas y horas de inicio y fin, con zona horaria. «Durante noviembre» no le dice al monitoreo del cliente si el escaneo de las 2:00 a. m. es usted o un atacante. Las pruebas que puedan afectar el servicio van en una franja aparte, fuera del horario pico.
Los contactos incluyen al menos uno disponible las 24 horas durante la vigencia, con teléfono, y dicen a quién se llama ante un hallazgo crítico. La vigencia fija desde cuándo y hasta cuándo vale el permiso, y cómo se revoca.
La carta completa
| Componente | Pregunta que responde |
|---|---|
| Partes y objeto | Quién contrata, quién prueba y para qué |
| Firma y facultad | Quién autoriza y con qué poder |
| Alcance incluido | Qué activos, exactamente |
| Exclusiones | Qué no se toca aunque esté en un rango incluido |
| Terceros | Qué activos son de otro y quién más autoriza |
| Ventana | Cuándo, con horas y zona horaria |
| Contactos | A quién se llama, también de madrugada |
| Vigencia | Hasta cuándo vale y cómo se revoca |
Técnicas, detención, manejo de datos e informe suelen ir en las RoE, anexas a la carta. La plantilla del laboratorio junta los doce componentes.
Y los programas de bug bounty
Un programa de recompensas o una política de divulgación de vulnerabilidades es una autorización pública con alcance propio. Muchas usan el texto de safe harbor de disclose.io, un proyecto abierto con cláusulas que protegen a quien investiga de buena fe, pero solo dentro de lo que la política incluye: un subdominio que no aparece en la lista sigue sin permiso, aunque la empresa tenga programa.