En este capítulo (TrayHackMe HTTP en detalle – HTTP in Detail) vas a dominar cómo funciona HTTP(S) —el lenguaje básico de la web—: cómo se forman las URL, cómo el navegador pide recursos, qué contienen las solicitudes y respuestas (líneas iniciales, encabezados, cuerpo), los métodos HTTP (GET, POST, PUT, DELETE), los códigos de estado (200, 301, 404, 503, etc.), y el ciclo de vida y riesgos de las cookies. También practicarás peticiones reales (GET/POST/PUT/DELETE) en un emulador y analizarás certificados TLS/HTTPS.
¿Por qué es útil y necesario? Porque casi cualquier auditoría o intrusión ética en aplicaciones web pasa por entender y manipular HTTP: enumerar URLs, forzar métodos, inspeccionar/forjar encabezados, robar o manipular cookies, interpretar códigos de estado, detectar redirecciones o errores, y reconocer fallos en la configuración TLS. Si no dominas HTTP no puedes explotar ni defender correctamente aplicaciones web.
La capacitación y el entrenamiento fue duro pero gracias a todo lo aprendido en los capítulos anteriores estas más que en condiciones de resolver esta box sin mayor esfuerzo.
HTTP en detalle
Aprenda cómo solicitar contenido de un servidor web mediante el protocolo HTTP
HTTP in detail – How the web works
Tarea 1¿Qué es HTTP(S)?
¿Qué es HTTP ? (Protocolo de transferencia de hipertexto)
HTTP es el protocolo que se utiliza al visitar un sitio web, desarrollado por Tim Berners-Lee y su equipo entre 1989 y 1991. HTTP es el conjunto de reglas que se utilizan para comunicarse con servidores web y transmitir datos de páginas web, ya sean HTML, imágenes, vídeos, etc.
¿Qué es HTTPS? (Protocolo seguro de transferencia de hipertexto)
HTTPS es la versión segura de HTTP . Los datos HTTPS están encriptados, lo que no solo impide que otros vean los datos que recibes y envías, sino que también te garantiza que estás hablando con el servidor web correcto y no con alguien que lo suplanta.
Responda las preguntas a continuación
¿Qué significa HTTP?
HyperText Transfer Protocol
¿Qué significa la S en HTTPS?
secure
En la página web simulada de la derecha hay un problema. Una vez que lo encuentres, haz clic en él. ¿Qué es la bandera del desafío?
THM{INVALID_HTTP_CERT}
Tarea 2 Solicitudes y respuestas
Al acceder a un sitio web, su navegador deberá solicitar recursos como HTML e imágenes a un servidor web y descargar las respuestas. Antes de eso, debe indicarle al navegador cómo y dónde acceder a estos recursos; para ello, las URL son útiles.
¿Qué es una URL? (Localizador Uniforme de Recursos)
Si has usado internet, seguramente has usado una URL antes. Una URL es principalmente una instrucción sobre cómo acceder a un recurso en internet. La siguiente imagen muestra el aspecto de una URL con todas sus funciones (no las utiliza todas en cada solicitud).
- Esquema: Esto indica qué protocolo utilizar para acceder al recurso, como HTTP , HTTPS, FTP (Protocolo de transferencia de archivos).
- Usuario: Algunos servicios requieren autenticación para iniciar sesión, puedes poner un nombre de usuario y contraseña en la URL para iniciar sesión.
- Host: El nombre de dominio o la dirección IP del servidor al que desea acceder.
- Puerto: el puerto al que se va a conectar, normalmente 80 para HTTP y 443 para HTTPS, pero puede estar alojado en cualquier puerto entre 1 y 65535.
- Ruta: el nombre del archivo o la ubicación del recurso al que intenta acceder.
- Cadena de consulta: Información adicional que se puede enviar a la ruta solicitada. Por ejemplo, /blog? id=1 indicaría a la ruta del blog que se desea recibir el artículo con el id 1.
- Fragmento: Esta es una referencia a una ubicación en la página solicitada. Se usa comúnmente en páginas con contenido extenso y puede tener una sección específica directamente vinculada, de modo que el usuario pueda verla en cuanto acceda a ella.
Realizar una solicitud
Es posible realizar una solicitud a un servidor web con solo una línea GET / HTTP /1.1
Pero para una experiencia web mucho más completa, también necesitará enviar otros datos. Estos se envían en encabezados, que contienen información adicional para el servidor web con el que se comunica. Profundizaremos en esto en la tarea «Encabezado».
Ejemplo de solicitud:
Para desglosar cada línea de esta solicitud:
- Línea 1: Esta solicitud envía el método GET (más sobre esto en la tarea Métodos HTTP ), solicita la página de inicio con / y le dice al servidor web que estamos usando el protocolo HTTP versión 1.1.
- Línea 2: Le decimos al servidor web que queremos el sitio web tryhackme.com
- Línea 3: Le decimos al servidor web que estamos usando el navegador Firefox versión 87
- Línea 4: Le estamos diciendo al servidor web que la página web que nos refirió a esta es https://tryhackme.com
- Línea 5: Las solicitudes HTTP siempre terminan con una línea en blanco para informar al servidor web que la solicitud ha finalizado.
Ejemplo de respuesta:
Para desglosar cada línea de la respuesta:
- Línea 1: HTTP 1.1 es la versión del protocolo HTTP que utiliza el servidor y luego viene el código de estado HTTP en este caso «200 OK» que nos indica que la solicitud se ha completado correctamente.
- Línea 2: Esto nos indica el software del servidor web y el número de versión.
- Línea 3: La fecha, hora y zona horaria actuales del servidor web.
- Línea 4: El encabezado Content-Type le dice al cliente qué tipo de información se enviará, como HTML, imágenes, videos, PDF, XML .
- Línea 5: Content-Length le dice al cliente qué tan larga es la respuesta, de esta manera podemos confirmar que no faltan datos.
- Línea 6: La respuesta HTTP contiene una línea en blanco para confirmar el final de la respuesta HTTP .
Líneas 7-14: La información que se ha solicitado, en este caso la página de inicio.
Responda las preguntas a continuación
¿Qué protocolo HTTP se está utilizando en el ejemplo anterior?
HTTP/1.1
¿Qué encabezado de respuesta le dice al navegador cuántos datos esperar?
Content-Length
Tarea 3 Métodos HTTP
Los métodos HTTP permiten al cliente mostrar la acción prevista al realizar una solicitud HTTP . Existen muchos métodos HTTP , pero cubriremos los más comunes, aunque principalmente se trabajará con los métodos GET y POST.
- Solicitud GET Esto se utiliza para obtener información de un servidor web.
- Solicitud POST Esto se utiliza para enviar datos al servidor web y potencialmente crear nuevos registros.
- Solicitud PUT Esto se utiliza para enviar datos a un servidor web para actualizar la información.
- Solicitud DELETE Esto se utiliza para eliminar información/registros de un servidor web.
Responda las preguntas a continuación
¿Qué método se utilizaría para crear una nueva cuenta de usuario?
POST
¿Qué método se utilizaría para actualizar su dirección de correo electrónico?
PUT
¿Qué método utilizarías para eliminar una imagen que has subido a tu cuenta?
DELETE
¿Qué método se utilizaría para ver un artículo de noticias?
GET
Tarea 4 Códigos de estado HTTP
Códigos de estado HTTP :
En la tarea anterior, aprendiste que cuando un servidor HTTP responde, la primera línea siempre contiene un código de estado que informa al cliente del resultado de su solicitud y, potencialmente, cómo gestionarla. Estos códigos de estado se pueden dividir en cinco rangos diferentes:
| 100-199 – Respuesta de información | Estos códigos se envían para informar al cliente que la primera parte de su solicitud ha sido aceptada y que debe continuar enviando el resto . Estos códigos ya no son muy comunes. |
| 200-299 – Éxito | Este rango de códigos de estado se utiliza para indicar al cliente que su solicitud fue exitosa. |
| 300-399 – Redirección | Se utilizan para redirigir la solicitud del cliente a otro recurso, ya sea a otra página web o a un sitio web completamente distinto. |
| 400-499 – Errores del cliente | Se utiliza para informar al cliente de que hubo un error con su solicitud. |
| 500-599 – Errores del servidor | Esto está reservado para errores que ocurren en el lado del servidor y generalmente indican un problema bastante importante con el servidor que maneja la solicitud. |
Códigos de estado HTTP comunes :
Hay muchos códigos de estado HTTP diferentes y eso sin incluir el hecho de que las aplicaciones pueden incluso definir los suyos propios. Repasaremos las respuestas HTTP más comunes con las que probablemente te encontrarás:
| 200 – OK | La solicitud se completó exitosamente. |
| 201 – Creado | Se ha creado un recurso (por ejemplo, un nuevo usuario o una nueva publicación de blog). |
| 301 – Trasladado permanentemente | Esto redirige el navegador del cliente a una nueva página web o le dice a los motores de búsqueda que la página se ha movido a otro lugar y que deben buscar allí en su lugar. |
| 302 – Encontrado | Similar a la redirección permanente anterior, pero como sugiere el nombre, este es solo un cambio temporal y puede cambiar nuevamente en el futuro cercano. |
| 400 – Solicitud incorrecta | Esto le indica al navegador que algo no estaba bien o que faltaba algo en su solicitud. Esto podría usarse a veces si el recurso del servidor web solicitado esperaba un parámetro que el cliente no envió. |
| 401 – No autorizado | Actualmente no tienes permiso para ver este recurso hasta que lo hayas autorizado con la aplicación web, generalmente con un nombre de usuario y una contraseña. |
| 403 – Prohibido | No tienes permiso para ver este recurso tanto si has iniciado sesión como si no. |
| 405 – Método no permitido | El recurso no permite esta solicitud de método, por ejemplo, envía una solicitud GET al recurso /create-account cuando esperaba una solicitud POST en su lugar. |
| 404 – Página no encontrada | La página/recurso solicitado no existe. |
| 500 – Error de servicio interno | El servidor ha encontrado algún tipo de error con su solicitud que no sabe cómo manejar adecuadamente. |
| 503 – Servicio no disponible | Este servidor no puede manejar su solicitud porque está sobrecargado o inactivo por mantenimiento. |
Si eres un aprendiz visual, también puedes consultar un excelente recurso http.cat para estudiar los códigos de estado. Ahora, haz clic en el botón «Ver sitio» a la derecha para ver cómo se ven algunos de estos mensajes de estado HTTP en un navegador.
Responda las preguntas a continuación
¿Qué código de respuesta podrías recibir si has creado un nuevo usuario o artículo de blog?
201
¿Qué código de respuesta podrías recibir si intentas acceder a una página que no existe?
404
¿Qué código de respuesta podría recibir si el servidor web no puede acceder a su base de datos y la aplicación falla?
503
¿Qué código de respuesta podrías recibir si intentas editar tu perfil sin iniciar sesión primero?
401
Tarea 5 Encabezados
Los encabezados son bits de datos adicionales que puedes enviar al servidor web cuando realizas solicitudes. Aunque no se requieren encabezados estrictamente al realizar una solicitud HTTP , resultará difícil ver un sitio web correctamente.
Encabezados de solicitud comunes
Estos son encabezados que se envían desde el cliente (generalmente su navegador) al servidor.
Host: Algunos servidores web alojan varios sitios web, por lo que al proporcionar los encabezados de host puede indicarle cuál necesita; de lo contrario, solo recibirá el sitio web predeterminado para el servidor.
User-Agent: es el número de versión y el software de su navegador, que le indica al servidor web que el software de su navegador lo ayuda a formatear el sitio web correctamente para su navegador y también que algunos elementos de HTML, JavaScript y CSS solo están disponibles en ciertos navegadores.
Longitud del contenido: Al enviar datos a un servidor web, como en un formulario, la longitud del contenido indica al servidor la cantidad de datos que debe esperar en la solicitud. De esta forma, el servidor puede garantizar que no falte ningún dato.
Accept-Encoding: le dice al servidor web qué tipos de métodos de compresión admite el navegador para que los datos se puedan reducir para su transmisión a través de Internet.
Cookie: Datos enviados al servidor para ayudar a recordar tu información (ver función de cookies para más información).
Encabezados de respuesta comunes
Estos son los encabezados que se devuelven al cliente desde el servidor después de una solicitud.
Set-Cookie: Información para almacenar que se envía de vuelta al servidor web en cada solicitud (consulte la tarea de cookies para obtener más información).
Control de caché: durante cuánto tiempo se debe almacenar el contenido de la respuesta en la caché del navegador antes de que lo solicite nuevamente.
Content-Type: Esto le dice al cliente qué tipo de datos se están devolviendo, es decir, HTML, CSS, JavaScript, imágenes, PDF, video, etc. Al utilizar el encabezado content-type, el navegador sabe cómo procesar los datos.
Codificación de contenido: ¿Qué método se ha utilizado para comprimir los datos y hacerlos más pequeños al enviarlos a través de Internet?
Responda las preguntas a continuación
¿Qué encabezado le dice al servidor web qué navegador se está utilizando?
User-Agent
¿Qué encabezado le dice al navegador qué tipo de datos se están devolviendo?
Content-Type
¿Qué encabezado le dice al servidor web qué sitio web se está solicitando?
Host
Tarea 6 Cookie
Probablemente ya hayas oído hablar de las cookies; son simplemente pequeños fragmentos de datos que se almacenan en tu equipo. Se guardan al recibir un encabezado «Set-Cookie» de un servidor web. Con cada nueva solicitud, enviarás los datos de las cookies al servidor web. Dado que HTTP no tiene estado (no registra tus solicitudes anteriores), las cookies pueden usarse para recordarle al servidor web quién eres, algunas configuraciones personales del sitio web o si ya has visitado el sitio web. Veamos un ejemplo de solicitud HTTP :
Las cookies pueden usarse para diversos fines, pero su uso más común es la autenticación de sitios web. El valor de la cookie no suele ser una cadena de texto sin formato donde se puede ver la contraseña, sino un token (un código secreto único difícil de adivinar).
La imagen muestra de forma muy clara y paso a paso cómo funciona el intercambio de cookies entre un cliente (navegador) y un servidor web, ilustrando el proceso de creación, almacenamiento y uso de una cookie para mantener la identificación del usuario entre distintas peticiones.
- Primera solicitud (GET / HTTP/1.1): El cliente envía una petición al servidor (http://cookies.thm) solicitando una página. En esta primera interacción, aún no existe ninguna cookie almacenada en el navegador.
- Respuesta del servidor (200 OK): El servidor responde con una página HTML que contiene un formulario, pidiendo al usuario que introduzca su nombre. En los encabezados de esta respuesta se incluyen detalles típicos como Server: nginx/1.15.8, Date, Content-Type, etc.
- Envío del formulario (POST / HTTP/1.1): El usuario completa el formulario escribiendo su nombre (“adam”) y el navegador envía esta información al servidor usando el método POST, con el cuerpo name=adam. Esta información viaja en el contenido de la solicitud (body) con el tipo application/x-www-form-urlencoded.
- Creación de la cookie (Set-Cookie): El servidor procesa la información recibida y responde con otro 200 OK, pero esta vez incluye el encabezado Set-Cookie: name=adam. Este encabezado indica al navegador que debe almacenar esa cookie localmente con el par clave-valor (name=adam).
- Solicitud posterior con cookie (GET / HTTP/1.1): En la siguiente petición que el navegador hace al mismo dominio, automáticamente adjunta la cookie guardada en el encabezado Cookie: name=adam. Este proceso ocurre sin intervención del usuario: el navegador se encarga de enviar las cookies que correspondan al dominio de destino.
- Respuesta personalizada: El servidor recibe la cookie y reconoce al usuario gracias al valor almacenado. En este caso, en lugar de mostrar el formulario nuevamente, responde con un mensaje personalizado:
<html><body>Welcome back adam</body></html>
De esta forma, el servidor sabe quién es el cliente sin necesidad de volver a pedir sus datos. Desde el punto de vista del pentesting y la seguridad, este flujo demuestra cómo las cookies permiten mantener sesiones activas, pero también evidencia posibles puntos vulnerables. Si el valor de la cookie (name=adam) no está protegido o firmado, un atacante podría manipularla para cambiar su contenido, suplantar usuarios o acceder a información restringida. Además, si no se configuran correctamente atributos de seguridad como HttpOnly, Secure o SameSite, la cookie podría ser robada mediante ataques XSS o CSRF.
En resumen, la imagen describe de forma completa el ciclo de vida de una cookie: desde su creación mediante Set-Cookie hasta su reenvío automático con cada solicitud. Este mecanismo es esencial para el manejo de sesiones, autenticación y personalización en la web, pero también representa un vector crítico que debe protegerse adecuadamente para evitar vulnerabilidades y fugas de información.
Visualización de sus cookies
Puede ver fácilmente qué cookies envía su navegador a un sitio web mediante las herramientas de desarrollo. Si no sabe cómo acceder a ellas, haga clic en el botón «Ver sitio» en la parte superior de esta sección para obtener una guía práctica.
Una vez abiertas las herramientas de desarrollo, haga clic en la pestaña «Red». Esta pestaña mostrará una lista de todos los recursos que su navegador ha solicitado. Puede hacer clic en cada uno para obtener un desglose detallado de la solicitud y la respuesta. Si su navegador envió una cookie, la verá en la pestaña «Cookies» de la solicitud.
Firefox
Para abrir las herramientas de desarrollo en Firefox, haz clic en el icono del menú de Firefox en la esquina superior derecha del navegador. Luego, selecciona «Más herramientas». En el submenú, elige «Herramientas para desarrolladores web».
Chrome
Para abrir las herramientas de desarrollo en Chrome, haz clic en el icono del menú de Chrome, en la esquina superior derecha del navegador. Luego, selecciona «Más herramientas». En el submenú, elige «Herramientas de desarrollo».
Safari
Para abrir las herramientas de desarrollo en Safari, primero habilite el Menú de Desarrollo. Haga clic en Menú de Safari > Configuración para abrir el panel de configuración y preferencias.
Aquí, haga clic en la pestaña Avanzado y marque la casilla «Mostrar el menú de Desarrollo en la barra de menú» en la parte inferior.
En la barra de menú superior, encontrará el menú de Desarrollo. Haga clic en él y seleccione «Mostrar Inspector Web» para abrir las herramientas de desarrollo.
Edge
Para abrir las herramientas de desarrollo en Microsoft Edge, haz clic en el menú de Edge, a la derecha del navegador, y selecciona «Más herramientas». En el submenú, selecciona «Herramientas de desarrollo».
Responda las preguntas a continuación
¿Qué encabezado se utiliza para guardar las cookies en su computadora?
Set-Cookie
Tarea 7 Realizar solicitudes
Haga clic en el botón «Ver sitio» a la derecha. Este es un emulador para realizar solicitudes HTTP de demostración . Utilizando lo que aprendió en las tareas anteriores, puede usarlo para completar las siguientes preguntas.
Responda las preguntas a continuación
Realizar una solicitud GET a la página /room
Realice una solicitud GET a la página /blog y configure el parámetro id en 1. Nota: use el botón de engranaje a la derecha para administrar los parámetros de URI
THM{YOU_FOUND_THE_BLOG}
Realizar una solicitud DELETE a la página /user/1
THM{USER_IS_DELETED}
Realice una solicitud PUT a la página /user/2 con el parámetro de nombre de usuario establecido en admin Nota: Use el botón de engranaje a la derecha para administrar los parámetros del cuerpo
THM{USER_HAS_UPDATED}
Realice una solicitud POST a la página / login con el nombre de usuario thm y la contraseña letmein Nota: Use el botón de engranaje a la derecha para administrar los parámetros del cuerpo
Y finalizamos
Resumen
- HTTP vs HTTPS
- HTTP = HyperText Transfer Protocol.
- HTTPS = HTTP sobre TLS; cifra la comunicación y evita suplantación.
- URL y sus partes
- Esquema (http/https), usuario, host, puerto, ruta, query string (ej. ?id=1), fragmento.
- La URL le dice al cliente cómo y dónde acceder al recurso.
- Solicitud HTTP (request)
- Línea inicial: METHOD /ruta HTTP/1.1 (ej. GET / HTTP/1.1).
- Encabezados: Host, User-Agent, Accept-Encoding, Content-Length, Cookie, etc.
- Línea en blanco + cuerpo (opcional, p. ej. en POST/PUT).
- Respuesta HTTP (response)
- Línea inicial: HTTP/1.1 <código> <mensaje> (p. ej. 200 OK).
- Encabezados: Server, Date, Content-Type, Content-Length, Set-Cookie, Cache-Control, etc.
- Línea en blanco + cuerpo (HTML, JSON, imagen, etc.).
- Métodos HTTP
- GET (leer), POST (crear/enviar datos), PUT (actualizar), DELETE (borrar).
- Importante en pentesting: probar métodos permitidos/denegados, ver 405 Method Not Allowed.
- Códigos de estado
- 1xx info, 2xx éxito (200/201), 3xx redirecciones (301/302), 4xx errores cliente (400/401/403/404/405), 5xx errores servidor (500/503).
- Útil para descubrir comportamientos (p. ej. 401 vs 403 para control de acceso).
- Encabezados (headers)
- Solicitud -> informa al servidor (p. ej. User-Agent, Host, Cookie).
- Respuesta -> informa al cliente (p. ej. Content-Type, Set-Cookie, Content-Encoding).
- Manipular headers es clave para bypasses (Host header attacks, Host-based virtual hosts, content negotiation).
- Cookies y estado
- Set-Cookie crea la cookie; el navegador la reenvía en Cookie.
- Usadas para sesión/autenticación. Si no están firmadas o no usan atributos HttpOnly/Secure/SameSite, pueden explotarse (falsificación, XSS, hijacking).
- Práctica con peticiones
- Realizaste GET/POST/PUT/DELETE y resolviste flags (ej.: THM{YOU_FOUND_THE_BLOG}, THM{USER_IS_DELETED}, THM{USER_HAS_UPDATED}, etc.).
- También identificaste un certificado inválido (THM{INVALID_HTTP_CERT}) — importante para distinguir HTTPS mal configurado.
10 Preguntas Basadas en el Artículo
- ¿Qué diferencia principal hay entre HTTP y HTTPS?
- ¿Cuál es el propósito de un encabezado Host en una solicitud HTTP?
- ¿Qué métodos HTTP se usan para crear, actualizar y eliminar recursos?
- ¿Qué es una URL y qué partes principales la componen?
- ¿Qué significa el código de estado 301?
- ¿Qué encabezado indica qué navegador está usando el cliente?
- ¿Qué función tiene el encabezado Set-Cookie?
- ¿Cuál es la diferencia entre los códigos 401 y 403?
- ¿Qué código HTTP indica que un servidor está en mantenimiento o saturado?
- ¿Cómo ayuda una cookie a mantener sesiones en HTTP, que es un protocolo sin estado?
Respuestas Detalladas a las Preguntas
1. La diferencia principal es que HTTPS cifra los datos entre el cliente y el servidor, ofreciendo privacidad y autenticación, mientras que HTTP transmite la información en texto claro.
2. El encabezado Host le dice al servidor a qué dominio dentro de un servidor compartido desea acceder el cliente.
3.
- POST: Crear recursos (como una cuenta).
- PUT: Actualizar recursos existentes.
- DELETE: Eliminar recursos.
4. Una URL (Uniform Resource Locator) tiene los siguientes componentes:
- Esquema (http, https)
- Usuario:Contraseña (opcional)
- Host (dominio o IP)
- Puerto
- Ruta
- Parámetros de consulta
- Fragmento
5. El código 301 indica que el recurso fue movido permanentemente a otra URL.
6. El encabezado User-Agent identifica el navegador y sistema operativo del cliente.
7. Set-Cookie le indica al navegador que almacene una cookie con un valor determinado, usada para sesiones, preferencias, etc.
8.
- 401 Unauthorized: El usuario no ha iniciado sesión o no se ha autenticado.
- 403 Forbidden: El usuario no tiene permiso, incluso si ha iniciado sesión.
9. El código 503 Service Unavailable indica que el servidor no puede atender la solicitud, ya sea por mantenimiento o sobrecarga.
10. Las cookies permiten que el servidor recuerde quién eres entre solicitudes. Esto es esencial porque HTTP no mantiene estado por sí solo, y sin cookies, cada petición sería «anónima».
Qué aprendiste
Has adquirido la base imprescindible para interactuar y auditar aplicaciones web: leer y construir solicitudes HTTP, interpretar respuestas, manipular encabezados y cookies, y comprender el impacto de cada método y código de estado. Esto te permite:
- realizar enumeración y fuzzing de rutas y parámetros,
- identificar configuraciones TLS/HTTPS defectuosas,
- explotar malos controles de sesión (cookies inseguras),
- y comprender por qué un 401/403/405/503 te dice algo distinto sobre el objetivo.
En resumen: dominando HTTP te conviertes en un hacker mucho más eficaz y metódico —desde la recolección de información hasta la explotación y el reporting—. Sigue practicando con peticiones reales, proxies (Burp/mitmproxy) y revisa siempre encabezados y cookies cuando audites una aplicación. ¡Buen trabajo, sigue así! 🚀