Escribir el informe

La gravedad, sin inventarse una escala

No hace falta una escala numérica. Dos preguntas, y de ellas salen tres niveles:

La regla que sale de la tabla: urgente es lo que está abierto hoy sin que nada más tenga que fallar. Todo lo demás es importante o mejora. Es una escala de dos preguntas, se puede defender en una reunión, y nadie va a discutir la clasificación en vez de arreglar el problema — que es lo que pasa con las escalas de cinco niveles y números.

Qué lleva una entrada

Cinco campos, y ninguno sobra:

### Sin política de contenido · urgente**Dónde** — tauri.conf.json, app.security.csp**Qué pasa** — La clave está desactivada. Cualquier código que corra en lawebview puede hacer peticiones a cualquier servidor, sin usar ningún comandoy sin aparecer en ninguna capability.**Cómo comprobarlo** — Abre las herramientas, ejecuta una petición a undominio externo desde la consola. Sale.**Qué hacer** — Política estricta y relajar con el procedimiento delnivel 31.1. Media hora.**Si no se arregla** — El modelo de permisos protege el puente mientras lared queda abierta. Es la vía que ningún otro mecanismo cubre.

El campo que casi nadie pone y es el que hace que se arregle: cómo comprobarlo. Un hallazgo que el otro puede reproducir en treinta segundos deja de ser una opinión tuya. Sin eso, la conversación es «¿estás seguro?», y ahí muere la mitad de los informes.

Y el último campo —si no se arregla— evita la discusión de prioridades: dice qué queda abierto, no cuánto importa. La prioridad la pone quien mantiene la aplicación, con esa información.

El orden

Tres bloques, en este orden, y el primero es el que decide si se lee el resto:

«Qué está bien» va en el bloque 1 y no es cortesía. Si las capabilities están partidas por ventana, si los comandos son de dominio, si los errores no filtran — eso es trabajo que alguien hizo bien y decirlo cambia cómo se lee lo demás. También es información: dice qué no hace falta revisar.

Las tres cosas que hacen que se ignore

Aprendidas por las malas:

Mezclar hallazgos con preferencias. Si el informe dice «la política está desactivada» y tres líneas después «yo habría usado otra librería de estado», el segundo contamina al primero. Las preferencias van fuera, o en una sección claramente marcada como tal.

No decir el coste. «Comandos primitivos» sin «son ocho comandos, unos tres días» se convierte en una tarea sin tamaño, y las tareas sin tamaño no entran en ninguna planificación. Estimar mal es mejor que no estimar.

Ser exhaustivo. Un informe de cuarenta hallazgos no se arregla: se archiva. Si hay cuarenta, el informe son los seis que importan y una nota diciendo que hay una cola detrás. La exhaustividad es un valor en la auditoría y un defecto en el informe.