Escribir un reporte no es sólo sobre obtener información en la página; es sobre comunicar esa información claramente, objetivamente y profesionalmente. Es la única parte del pentest que permanecerá ante el tiempo. Después de que te hayas ido a otro sitio o el proyecto entero haya cambiado, el reporte seguirá importando.
Escribir Claro
La claridad es una de las cualidades más importantes de un buen reporte. Deberías siempre intentar evitar la ambigüedad usando lenguaje simple y directo que establezca tu punto de vista claramente. Tu escritura debe ser entendible incluso a lectores que no tienen conocimiento profundo del sistema. Si lo que quieres decir no está claro o está enterrado bajo complejidad innecesaria, tus hallazgos se tomarán menos en serio.
Escritura Profesional
Un reporte de pentesting es un documento formal. Usa el mismo tono y estilo que usarías en cualquier otra comunicación de negocio crítica. Esto significa:
- Se objetivo: Cíñete a los hechos. Evita la exageración, el lenguaje emocional o las asunciones sobre intención.
- Evita la escritura informal: Sin slang, sin chistes y definitivamente sin "we pwned the login page".
- Se consistente: Usa la misma terminología, formato y estructura a lo largo del reporte. Evita cambiar entre diferentes deletreos (en inglés) o términos para la misma cosa.
Mejores Prácticas Generales
Sigue estas simples reglas para mejorar el profesionalismo y legibilidad de tu escritura.
- Escribe en tiempo pasado: "La vulnerabilidad fue descubierta durante el testeo de autentificación."
- No uses lenguaje en primera persona: Evita "yo", "nosotros", "nuestro"... Escribe como un observador neutral.
- Esconde información sensible: Nunca incluyas contraseñas reales u otra información privada a no ser que sea explícitamente autorizado. Si necesitas una captura para mostrar impacto, pixela o tapa la información sensible.
- Usa fraseo limpio y formal: Evita contracciones y términos casuales. "El atacante obtuvo acceso no autorizado" es mejor que "Entramos".
Proceso de QA (Aseguramiento de Calidad)
Incluso aquellos testers experimentados pueden cometer fallos. Esto es por lo que todos los reportes deberían de ir a través de un proceso de revisado:
- Lee tu propio trabajo: Aléjate del reporte y vuelve a él más tarde con una mirada fresca. Busca frases poco claras, inconsistencias o contexto faltante.
- Que alguien lea tu trabajo: Un compañero debería comprobar que los hallazgos son entendibles, replicables y escritos de forma profesional.