Leer el scope & reglas

Leer y respetar el scope es lo PRIMERO y lo más importante: define qué puedes tocar, cómo, y qué pasa si te sales. Un bug brillante fuera de alcance no se paga y puede costarte el baneo —o problemas legales. Esta es la frontera entre hacking ético y delito.

Qué define el scope

In-scope       los activos que PUEDES probar (dominios, apps, APIs, rangos)
Out-of-scope   lo que NO (a veces activos concretos, a veces vulns concretas)
Reglas         qué técnicas están permitidas y cuáles NO
Recompensas    tabla por severidad/tipo (bb-plataformas)
Safe harbor    protección legal si respetas las reglas (clave)

Lo que suele estar PROHIBIDO

- ataques de DENEGACIÓN de servicio (DoS/DDoS) y fuzzing agresivo que degrade el servicio
- ingeniería social a empleados/clientes (salvo que se permita explícitamente)
- ataques físicos; spam; fuerza bruta masiva de login
- acceder/modificar/exfiltrar datos de OTROS usuarios (usar cuentas de prueba propias)
- automatización/escaneo que genere carga excesiva
# saltarse esto = baneo, no pago, y posible responsabilidad legal

Wildcards y límites

*.target.com    normalmente todos los subdominios... pero OJO con adquisiciones/terceros
exclusiones     a veces un subdominio concreto, un tercero (SaaS), o un entorno están fuera
terceros        un proveedor en el subdominio puede estar PROHIBIDO aunque sea *.target.com
# ante la duda, preguntar al programa ANTES de probar

Antes de empezar: due diligence

- leer el scope ENTERO (in/out, reglas, recompensas, safe harbor) y releerlo
- confirmar que un activo que encontraste en el recon está realmente in-scope
- identificar si hay datos personales/producción -> extremar cuidado (y RGPD)
- guardar una copia del scope/fecha: las reglas cambian

Minimizar impacto al probar

- usar CUENTAS DE PRUEBA propias; no tocar datos de usuarios reales
- PoC mínima que demuestre el bug sin causar daño (no borrar, no masificar)
- parar y reportar ante datos sensibles o acceso inesperado; no escalar más de lo necesario

Blue Team / nota ética

El scope es la frontera legal: dentro = hacking ético; fuera = delito. Releerlo siempre.
Respetar las reglas (nada de DoS, social, datos ajenos) aunque técnicamente puedas.
PoC mínima y cuentas de prueba: demostrar el impacto sin causar daño ni tocar a terceros.
Ante la duda sobre un activo/técnica, preguntar al programa antes de actuar.

Buenas prácticas y errores comunes

Lee el scope entero antes de tocar nada: dominios, exclusiones y pruebas prohibidas (DoS, ingeniería social).
Respeta el safe harbor y para en cuanto accedas a datos reales; documenta y reporta sin explorar más.
Error típico: salirte del scope “porque encontré algo”; es la vía rápida al baneo (y a veces a la denuncia).

Checklist de prueba

Leer el scope completo (in/out, reglas, recompensas, safe harbor)
Confirmar que cada activo del recon está in-scope
Verificar técnicas prohibidas (DoS, social, fuerza bruta masiva)
Usar cuentas de prueba propias; no tocar datos de terceros
PoC mínima sin causar daño
Parar y reportar ante datos sensibles/acceso inesperado
Guardar copia del scope (fecha); preguntar ante la duda