Estado: procedimiento de laboratorio local; no es un informe de cliente ni afirma resultados de una ejecución aún no realizada.
OWASP ZAP puede ayudar a revisar una aplicación web cuando existe autorización escrita y un alcance concreto. La práctica responsable empieza con una aplicación desechable, una ventana de prueba y una política de no afectar datos reales.
Alcance
El objetivo de referencia es http://127.0.0.1:8080, levantado en un entorno aislado. No se permiten dominios de terceros, escaneo de Internet, credenciales reales, cargas destructivas ni pruebas fuera de la ventana autorizada.
Ejecución conservadora
Para una primera revisión se utiliza el modo pasivo: se navega por la aplicación de laboratorio a través de ZAP y se revisan las alertas generadas sin lanzar un ataque activo. El informe debe conservar la versión de ZAP, la URL exacta, la fecha y la configuración sin secretos.
El resultado de ZAP es una lista de indicios. Un encabezado ausente o una cookie sin atributo no demuestra por sí mismo impacto explotable. Cada alerta debe confirmarse manualmente y clasificarse como reproducible, no reproducible o pendiente.
Evidencia y remediación
Se conserva el informe original, un hash, la configuración sin secretos y una tabla que relaciona alerta, evidencia, riesgo, corrección y prueba de regresión. La remediación se valida en el laboratorio, no en producción, salvo autorización separada.
Límites y atribución
Este artículo no presenta cobertura, número de alertas, tiempos ni severidades como hechos ejecutados. Si ZAP no se ejecuta, el estado correcto es “no ejecutado”. La ilustración es original y conceptual, no un logotipo oficial.
La pieza se publica como trabajo técnico de SECRON, marca comercial de JSJ Consultoría 23, S.L., y continuidad de la experiencia pública de Jesús Amorós en protección de aplicaciones y automatización: jesusamoros.com, GitHub y WAPPAF Community.
