Exposición web: muestra de formato

01 / Alcance antes de analizar

Un proyecto debe identificar el activo propio o autorizado, las comprobaciones permitidas, las exclusiones y el responsable de revisión. Un sitio público no concede por sí mismo permiso para pruebas intrusivas. Disponibilidad, precio, plazo y formato se acuerdan antes de comenzar.

02 / Ejemplo de registro

Observación DEMO-01

En un fixture preparado para esta muestra no aparece Content-Security-Policy entre los headers de una respuesta HTTP. No hay una petición real ni evidencia de un sistema externo.

Interpretación acotada

En un encargo real, una ausencia observada permitiría revisar esa configuración en la respuesta concreta. No demuestra XSS, explotación, exposición de datos ni ausencia del header en todo el sitio.

Verificación pendiente

Comprobar respuesta, ruta, fecha, redirecciones y controles equivalentes dentro del alcance autorizado. Conservar evidencia antes de priorizar una corrección.

Severidad

No evaluada. No se asigna CVSS ni una pérdida financiera sin demostrar una vulnerabilidad y su contexto.

03 / Entrega propuesta

Reporte con cobertura, registros fechados, fuentes, límites, prioridades justificadas y verificaciones siguientes. La revisión humana y los criterios de aceptación se definen en la propuesta. La remediación y su comprobación requieren alcance separado.

04 / Límites

Esta muestra no es un pentest, certificado de seguridad ni diagnóstico de una empresa. La cobertura y las comprobaciones necesarias se acuerdan para cada activo.