Exclusión de dominios en escaneos móviles

Esta guía explica cómo excluir dominios de los escaneos móviles configurando el alcance (scope) del escaneo.

Los escaneos móviles utilizan las expresiones regulares de Scope URLs regexes para definir qué dominios o URL se consideran dentro del alcance. Para incluir en lista de exclusión (blacklist) o excluir un dominio, proporcione una expresión regular que coincida con las URL que desea mantener dentro del alcance y que no coincida con el dominio que desea excluir.

Vaya a report.ostorlab.co

1. Introducción

Al excluir dominios, puede evitar evaluar objetivos fuera de alcance durante un escaneo móvil.

Introducción

2. Haga clic aquí

Inicie el proceso haciendo clic en el icono "New Scan".

Icono New Scan

3. Seleccione el tipo de activo

Elija el tipo de activo móvil. Puede ser Play Store, App Store, APK de Android, AAB de Android, IPA de iOS o TestFlight de iOS.

Seleccione el tipo de activo

4. Proporcione el objetivo

Proporcione el objetivo del escaneo.

Proporcione el objetivo

5. Haga clic en "Continue"

Avance al siguiente paso haciendo clic en continue.

Haga clic en 'Continue'

6. Haga clic en "Full Scan"

Seleccione la opción Full Scan.

Haga clic en 'Full Scan'

7. Haga clic en "Continue"

Confirme su elección para continuar haciendo clic en continue.

Haga clic en 'Continue'

8. Seleccione las credenciales de prueba

Seleccione las credenciales de prueba que se utilizarán. Este paso es opcional.

Seleccione las credenciales de prueba

9. Haga clic en "Continue"

Haga clic en continue para avanzar al paso de Configuración avanzada (Advanced Settings).

Haga clic en 'Continue'

10. Proporcione la regex de exclusión de dominio

En Scope URLs regexes, introduzca una expresión regular que excluya el dominio del alcance del escaneo.

Por ejemplo, para excluir example.com y sus subdominios, agregue la siguiente expresión regular:

^https?://(?!(?:[^/?#:]+\.)?example\.com(?::\d+)?(?:[/?#]|$)).*

Esto mantiene example.com, www.example.com, api.example.com y otros subdominios de example.com fuera del alcance del escaneo.

Proporcione la regex de exclusión de dominio

Ejemplos de regex

Excluir example.com y todos sus subdominios:

^https?://(?!(?:[^/?#:]+\.)?example\.com(?::\d+)?(?:[/?#]|$)).*

Excluir únicamente el dominio raíz example.com, permitiendo sus subdominios:

^https?://(?!example\.com(?::\d+)?(?:[/?#]|$)).*

Excluir únicamente un subdominio, como staging.example.com:

^https?://(?!staging\.example\.com(?::\d+)?(?:[/?#]|$)).*

Excluir múltiples dominios, como example.com y test.example.org:

^https?://(?!(?:(?:[^/?#:]+\.)?example\.com|(?:[^/?#:]+\.)?test\.example\.org)(?::\d+)?(?:[/?#]|$)).*

Permitir únicamente dominios de producción de confianza, lo cual suele ser más simple que usar expresiones regulares de tipo lista de exclusión (blacklist):

^https?://api\.example\.com(?::\d+)?(?:[/?#]|$).*
^https?://auth\.example\.com(?::\d+)?(?:[/?#]|$).*

Al agregar múltiples líneas, cada una se procesa como una regex de alcance independiente. Los ejemplos directos de listas de permitidos (allowlist) se pueden introducir uno por línea. Las exclusiones tipo lista de exclusión (blacklist) deben escribirse como una sola expresión regular que excluya el dominio del alcance coincidente.