Riesgo del script | cside docs

Abre un script en Scripts y selecciona Script Risk, junto a Insights, Served Hashes, Seen Pages y Script History. Esta pestaña muestra los recursos que cside observó cargar al script y los datos de página a los que accedió.

Puntuación de riesgo

Vista previa exclusiva de Enterprise

Las puntuaciones numéricas de riesgo de scripts y la ordenación por riesgo están disponibles solo en el plan Enterprise. cside también debe habilitar la vista previa para tu equipo. Si no ves Risk score, contacta con cside para comprobar el acceso de tu equipo.

0 significa menor riesgo. 100 significa mayor riesgo. Usa la puntuación para priorizar la revisión de scripts. No es una probabilidad de compromiso: una puntuación de 45 no significa un 45% de probabilidad de ataque. Los scripts legítimos de pagos o autenticación pueden tener puntuaciones más altas porque acceden a datos sensibles. Una puntuación baja no garantiza la seguridad.

Encontrar y ordenar puntuaciones

En la lista Scripts de un dominio o en la lista de todos los dominios, usa la columna Risk score y ordena por riesgo conocido, de mayor a menor o de menor a mayor. Los scripts sin evaluación aparecen al final en ambos casos. Selecciona una puntuación para abrir su explicación en Script Risk.

Una fila agrupada muestra la mayor puntuación o el mayor mínimo conocido entre sus URL. Al seleccionarla, se abre el script que aporta ese valor. Si algún miembro no tiene evaluación o tiene evidencias incompletas, el grupo sigue incompleto.

Entender los estados de la puntuación

Lo que ves	Qué significa
Un número sobre 100 con Low risk, Medium risk o High risk	La evaluación tiene una puntuación numérica. Cuanto mayor es el número, mayor es el riesgo.
Insufficient data y At least N/100	Las evidencias disponibles establecen un mínimo. Las evidencias que faltan impiden obtener una puntuación completa.
Pending	No se ha guardado ninguna evaluación para este script en el período de evaluación actual. No significa riesgo cero.
Unavailable	cside no ha podido cargar la evaluación. No significa riesgo cero.
Stale	El período de las evidencias ya no es actual. La puntuación o el mínimo mostrado sigue describiendo ese período anterior.

Por ejemplo, At least 45/100 significa que las evidencias conocidas ya establecen una puntuación de riesgo de al menos 45. La puntuación completa puede ser mayor. No significa que se haya recopilado el 45% de las evidencias.

Una evaluación puede mostrar 100/100 y seguir indicando que las evidencias están incompletas: las evidencias conocidas ya alcanzan el máximo, por lo que las que faltan no pueden aumentar más la puntuación.

Qué contribuye a la puntuación

La explicación separa seis factores de comportamiento:

Acceso a campos de formulario: la categoría de campo más sensible observada, como datos personales, credenciales o datos de pago.
API sensibles del navegador: evidencias de uso de cámara, micrófono, ubicación o portapapeles. Un intento de llamada observado no demuestra que se haya concedido permiso ni que se hayan devuelto datos.
Recursos cargados: los destinos distintos usados para recursos activos y pasivos.
Iframes: evidencias de marcos incrustados, incluida su relación de origen cuando se conoce.
Cambios de contenido: las revisiones distintas del contenido del script durante el período de evaluación.
Primera observación: cuánto tiempo había pasado desde que cside observó el script por primera vez hasta el final de ese período.

Los hallazgos de seguridad pueden establecer una puntuación mínima. El resultado usa el mayor valor entre el total de comportamiento y el mínimo de seguridad aplicable más alto; estos valores no se suman. Los hallazgos sin resolver siguen visibles. Esta vista previa te ayuda a revisar scripts y no cambia las alertas ni las reglas de bloqueo.

Por qué pueden faltar evidencias

La vista previa aún no verifica que la monitorización del navegador ni las comprobaciones de seguridad cubran por completo cada revisión del script. Por eso puedes ver Insufficient data incluso cuando cside ha guardado observaciones correctamente. La ausencia de actividad registrada por sí sola no demuestra que no haya ocurrido nada.

También pueden faltar revisiones, no haber suficiente historial conservado para establecer cuándo se vio el script por primera vez, no estar disponible la recopilación o fallar una lectura de datos. Cada factor explica qué evidencias faltan. Estas carencias no se tratan como riesgo cero y actualizar la página no las resuelve. Contacta con cside si las evaluaciones siguen en Pending o una fuente continúa sin estar disponible.

Período de evaluación y tiempo desde la primera observación

Las puntuaciones cubren siete días UTC completos, sin incluir el día actual. Un script visto por primera vez hoy puede seguir en Pending hasta que una evaluación posterior lo incluya. Los filtros de fechas y revisiones no cambian este período fijo, incluido el selector de fechas de las tablas de comportamiento que aparecen más abajo.

La explicación muestra el período real y la hora de cálculo en tu zona horaria local. El tiempo desde la primera observación se expresa en días, horas y minutos según corresponda, como 25 días y 13 horas en lugar de 613 horas. Esta duración se mide al final del período de evaluación, no cuando abres la página.

Comportamiento observado

Ambas tablas muestran Permitted, Blocked o un porcentaje bloqueado, según Vendor Permissions, junto con la última observación. Las filas de campos incluyen el tipo y el nivel de riesgo. Expándelas para ver acciones de creación, lectura, actualización o eliminación por página. La ausencia de actividad registrada indica que no hay observaciones en ese intervalo, no que cside haya capturado todas las acciones posibles.

Rango de fechas

Ambas tablas de esta pestaña comparten un selector de rango de fechas anclado a la última fecha en qué se vio el script. El rango disponible esta acotado por lo que sea más estrecho: la ventana de retención de tu plan, o las fechas en qué cside realmente observo el script. Si pides un rango fuera de esa ventana, veras el mensaje “No recorded behavior in this range” en lugar de tablas vacias.

Loaded resources

La tabla de loaded resources muestra una fila por cada host y tipo de recurso que el script hizo cargar, por ejemplo un script que carga un pixel de seguimiento desde un hostname concreto, o que consulta datos de un endpoint de API.

Cada fila muestra:

Una casilla con color según el tipo de recurso: Connect/XHR, Script, Object, Frame, Image, Style, Font, Media, Worker, Manifest o Prefetch
El hostname, con su favicon y el nombre completo del pais cuando se conoce
Si la carga fue permitida o bloqueada

Expande una fila para ver las páginas en las que se vio el recurso, URLs de muestra y un mapa de ubicacion estimada construido a partir de donde se observo el recurso.

Filtrar loaded resources

Dos grupos de chips aparecen encima de la tabla:

Enforcement: filtra por cargas permitidas o bloqueadas
Kind: filtra por un tipo de recurso concreto, con un recuento en cada chip

Los recuentos de Kind reflejan tu filtro de enforcement pero no tu seleccion de kind, así que los recuentos se mantienen estables al cambiar entre tipos y solo cambian si activas Allowed o Blocked.

Accessed fields

La tabla de accessed fields muestra los campos de página y los datos que el script ha leido, por ejemplo campos de formulario o valores de almacenamiento. Cada fila muestra el tipo de campo, una insignia de riesgo, si el acceso fue permitido o bloqueado, y una muestra de las páginas en las que se vio. Expande una fila para ver la actividad del script en cada página por separado.

Vista a nivel de equipo

Script Risk cubre la actividad propia de un script. Para la vista entre scripts, a nivel de equipo, de cada recurso que cside ha observado en tus dominios, consulta Inventario de recursos.