Cómo debería ser un reporte de seguridad (si no eres ingeniero)

Si alguna vez recibiste un reporte de seguridad, probablemente recuerdas la sensación: página tras página de siglas, puntuaciones de gravedad sin contexto, y la sospecha creciente de que quien lo escribió le estaba hablando a otra persona.

Y es verdad. La mayoría de reportes de seguridad están escritos para otros profesionales de seguridad — como prueba de minuciosidad, no como herramienta para decidir.

Las tres preguntas que un dueño realmente tiene

Después de entregar cientos de reportes, sabemos que todo dueño lee con las mismas tres preguntas en mente: ¿Mi negocio está en peligro ahora mismo? ¿Qué me costaría ignorar esto? ¿Y qué tengo que hacer exactamente a continuación?

Todo lo demás es decoración.

Cómo estructuramos los nuestros

Cada hallazgo cae en una de tres categorías. **Arréglalo ya**: una puerta abierta que podría usarse hoy, con lo que significaría para tu negocio que alguien entrara — en dinero y en confianza, no en términos técnicos. **Arréglalo pronto**: debilidades que aún no son explotables, pero lo serán a medida que tu web crezca o las herramientas evolucionen. **Estás bien**: cosas que revisamos y pasaron, para que sepas que fueron revisadas.

Cada punto cabe en una tarjeta. Si quieres el apéndice técnico, está ahí — pero nunca lo necesitas para decidir.

La prueba de los cinco minutos

Esta es nuestra regla interna: un dueño debería poder leer el resumen y decidir qué arreglar en menos de cinco minutos. Si un reporte necesita una reunión para entenderse, el reporte falló — no el dueño.

Ese es el estándar que tu reporte de seguridad debería cumplir. Si el tuyo no lo hace, pregunta por qué. Y si quieres ver cómo es uno, el primero es gratis.