La auditoría que no necesita accesos

En seguridad existe una regla incómoda: si para revisar un sistema necesitas una cuenta de administrador, ya has aceptado el terreno del adversario y has perdido la mirada neutral. La auditoría más útil empieza fuera, sin credenciales, con la misma información que cualquiera puede ver desde su casa: los puertos que responden, el certificado que caduca, las versiones anunciadas en cada cabecera y el correo de contacto publicado. Ese inventario externo sorprende a menudo a quienes conocen el sistema por dentro y lo dan por cerrado. El atacante no empieza donde el administrador, sino donde termina internet. Mirror, mirror, ¿está seguro mi perímetro?