Evidências HTTP são mais fáceis de interpretar quando apenas uma variável muda por vez. Corpo, status, redirecionamento e cabeçalho de cache podem contar partes diferentes da história. Preserve-os juntos.
Nunca cole um token de sessão ativo em um exemplo de relatório. Substitua os segredos de forma consistente para que ainda seja possível identificar a conta de teste de cada requisição.
Antes de começar
- Método, origem, caminho, cabeçalhos relevantes e corpo de uma requisição mínima.
- Status, cabeçalhos relevantes e o menor trecho de resposta que sustenta a observação.
- O papel da identidade de teste, o dono do objeto e a presença de cache ou redirecionamentos.
Siga as etapas
- Colete uma requisição de referência com comportamento esperado. Registre horário, papel da conta e estado relevante da aplicação.
- Substitua cookies, bearer tokens, chaves de API e dados pessoais por rótulos claros. Preserve a relação entre IDs de objetos sintéticos e seus donos.
- Altere uma entrada ou identidade e capture a comparação. Diferencie a resposta inicial de qualquer redirecionamento seguido.
- Peça que o modelo compare campos observáveis antes de propor explicações. Evidência ausente deve virar uma pergunta a resolver.
- Ao usar a ferramenta HTTP do produto, revise os limites documentados de GET/HEAD, destino, gateway e escopo. Uma única requisição não implica varredura ampla.
Use um prompt preciso
Adapte às suas evidências
Compare estas trocas HTTP de referência e de outro usuário. Primeiro liste diferenças de status, redirecionamentos, cabeçalhos e campos protegidos do corpo. Depois explique o que sustenta uma falha de controle de acesso e o que tem alternativas benignas. Identifique uma verificação adicional mínima. Todas as credenciais dos exemplos são rótulos removidos.
Verifique seu trabalho
- As evidências mantêm contexto suficiente para explicar a resposta sem expor credenciais utilizáveis.
- Uma alegação de exposição aparece no campo protegido do corpo, não apenas no status ou tamanho.
- Diferenças de redirecionamento, cache e papel são consideradas antes de classificar o resultado como achado.
Leve suas evidências para uma conversa e avance para a próxima pergunta.
Abrir chat