engagement-mgr — Engagement Manager es una aplicación web para el seguimiento de compromisos de seguridad ofensiva. Cuenta con una interfaz de usuario moderna, construida con Next.js, Prisma y PostgreSQL. | Kitploit

Espacio de trabajo de redacción: abre el enlace Write & review de un hallazgo para editar en Markdown y obtener una vista previa segura. Los borradores privados se guardan tras 15 segundos de inactividad o bajo demanda; se almacenan en el servidor, no en el almacenamiento local del navegador. Recupera un borrador explícitamente tras reabrirlo. Los guardados en conflicto conservan el texto del editor y requieren comparación con la revisión actual. Las revisiones de texto pueden inspeccionarse y restaurarse; la restauración no restaura la evidencia eliminada.
Plantillas reutilizables: busca redacción aprobada por título, categoría o severidad. Los usuarios pueden proponer plantillas; los administradores las curan y aprueban. Aplicar una plantilla crea un hallazgo de compromiso independiente con observaciones, hosts afectados y evidencia vacíos, evitando la reutilización accidental de la prueba de otro compromiso.
Evidencia: sube o pega hasta cuatro imágenes PNG/JPEG juntas, añade pies de foto y edita el pie de foto/orden en el espacio de trabajo de redacción. Las imágenes se decodifican, se les eliminan los metadatos, se redimensionan a un máximo de 2000 × 2000 píxeles y se guardan como PNG. Conserva la evidencia forense original por separado si se requieren los bytes o metadatos originales.
Revisión: envía los hallazgos completos de Draft/Changes Requested a Ready. Un revisor asignado o administrador, distinto del autor actual, puede aprobar o solicitar cambios. Los administradores asignan revisores. Los cambios en el texto, la evidencia y las revisiones restauradas anulan la aprobación. La cola de revisión, los comentarios, la lista de verificación de preparación y el historial de revisiones facilitan el traspaso.
Informes PDF: elige un compromiso en Reports, redacta su resumen ejecutivo, selecciona/ordena los hallazgos y guarda la configuración. Los borradores de PDF están visiblemente marcados. Solo los administradores pueden emitir un PDF final, y cada hallazgo seleccionado debe estar aprobado y superar las comprobaciones de preparación. Cada versión emitida almacena su PDF, una instantánea de contenido explícita y un resumen SHA-256; las ediciones posteriores no lo regeneran. Eliminar el compromiso padre sigue eliminando sus informes a través del ciclo de vida existente.
Importaciones de escáneres: previsualiza una exportación, selecciona hallazgos y luego confirma. Las importaciones nunca ejecutan escaneos ni contactan con los objetivos. La huella digital del lado del servidor omite los hallazgos coincidentes en el mismo compromiso; todos los registros nuevos comienzan como Draft y deben ser revisados por un operador.

Familia de escáner/exportación	Exportación aceptada
Burp Suite	Issues XML, incluido el DTD de esquema interno inerte
Nessus / Tenable	Nessus v2 XML (`.nessus`)
Nmap	XML; los puertos abiertos y la salida de sus scripts se convierten en observaciones informativas, no en vulnerabilidades inferidas
OpenVAS / Greenbone	Informe XML nativo o GMP `get_reports_response`
OWASP ZAP	Informe JSON tradicional con sitios y alertas
Nuclei	JSON Lines (`-jsonl`)
Qualys	XML de resultados de escaneo (estructura `SCAN/IP`), no el formato separado de la API de detección de hosts
Semgrep / CodeQL y otros productores de SARIF	Ejecuciones, reglas y resultados SARIF JSON

`npm test` usa el modo de prueba no aislado de Node con `tsx` para que los casos de prueba individuales de TypeScript se ejecuten, en lugar de limitarse a informar el éxito del subproceso del archivo. Mantén visibles los totales de aserciones explícitas en CI.

Las regresiones de base de datos y navegador requieren una **base de datos local dedicada llamada `reporting_tests`**, con las migraciones aplicadas. Estas crean y eliminan sus propias filas de fixture; nunca apuntes estas pruebas a una base de datos de aplicación. Establece `REPORTING_TEST_DATABASE_URL` a esa base de datos de prueba, luego ejecuta:```bash
DATABASE_URL="$REPORTING_TEST_DATABASE_URL" npx prisma migrate deploy
npm run test:reporting
npx playwright install chromium
npm run test:browser

`postgresql-client` proporciona `pg_dump`, `pg_restore` y `psql`; `zip` crea archivos de respaldo. La extracción de la restauración es gestionada por la aplicación con validación estricta de entradas y tamaño.

Instalar los paquetes no siempre deja PostgreSQL en ejecución. Inicie y habilite el servicio antes de crear roles o iniciar la aplicación:```bash
sudo systemctl enable --now postgresql
sudo systemctl status postgresql --no-pager

| Variable | Obligatorio | Notas |
|----------|----------|-------|
| `DATABASE_URL` | Sí | Cadena de conexión de PostgreSQL. Prisma utiliza el parámetro de consulta `schema=public`. La copia de seguridad y la restauración utilizan un archivo pgpass temporal solo para el propietario, de modo que la contraseña no se coloca en los argumentos del subproceso. |
| `JWT_SECRET` | Sí en producción | Debe tener al menos **32 caracteres**. La aplicación se niega a iniciarse en producción sin él. Rotarlo invalida todas las sesiones existentes. |
| `TRUST_PROXY` | No | Establézcalo en `1` (o `true`) solo cuando la aplicación esté detrás de un proxy inverso que **sobrescriba** `X-Forwarded-For` / `X-Real-IP` y `X-Forwarded-Host`. Las comprobaciones de origen de inicio de sesión utilizan `X-Forwarded-Host` cuando está presente en este modo; debe contener un host público, incluido un puerto no predeterminado cuando se utilice. De lo contrario, el proxy debe preservar el encabezado `Host` público. Esta es la topología de producción requerida para límites precisos de inicio de sesión por origen. Cuando no se establece, los encabezados se ignoran para evitar la suplantación y el inicio de sesión utiliza un presupuesto de respaldo compartido de un minuto más alto, de modo que un cliente no puede imponer un bloqueo global de 15 minutos. |
| `ALLOWED_DEV_ORIGINS` | No | **Solo desarrollo.** Nombres de host adicionales permitidos para cargar recursos de `/_next` (separados por comas). Las direcciones IPv4 actuales de la LAN del servidor se permiten automáticamente. Utilice esto para un nombre DNS estable. Las compilaciones de producción ignoran esto. |

Genere un secreto fuerte:```bash
openssl rand -base64 32

### Producción

Utilice un usuario de base de datos dedicado con **privilegios mínimos** — no otorgue `CREATEDB` ni derechos de superusuario:```bash
sudo -u postgres createuser --pwprompt em_app
sudo -u postgres createdb --owner=em_app engagement_manager

El script instala los requisitos previos, inicia y habilita el servicio de PostgreSQL, solicita un nombre de usuario y una contraseña para la base de datos, escribe un `.env` con `chmod 600`, crea el rol y la base de datos de PostgreSQL, aplica las migraciones y siembra la cuenta de administrador predeterminada. El modo de producción también completa `npm run build` e imprime únicamente el comando de inicio de producción. No instala Node.js desde un script de shell remoto; instala primero una versión compatible de Node.js.

Para uso sin interfaz gráfica o en CI:```bash
sudo install -d -m 700 -o "$USER" /secure
openssl rand -base64 24 > /secure/db-password
chmod 600 /secure/db-password
./setup.sh -y --db-user=em_admin --db-pass-file=/secure/db-password

Instale las dependencias de Node.js: ```bash npm ci
Ejecutar las migraciones de la base de datos para crear las tablas: ```bash npx prisma migrate dev
Inicialice la base de datos para crear la cuenta de Administrador predeterminada: ```bash npx prisma db seed

Deja esa ventana abierta. Usa la dirección Local o Network que imprime.

Para iniciarlo tú mismo en su lugar: PostgreSQL debe estar en ejecución (`sudo systemctl start postgresql` si es necesario). Luego inicia el servidor de desarrollo:```bash
npm run dev

`npm run dev` y `npm start` enlazan `0.0.0.0` para que la URL de red funcione en la LAN. Considera el acceso por LAN solo para laboratorio en una red de confianza. El modo de desarrollo no está reforzado para internet público.

Si abres la aplicación por **nombre de host** (no por IP) y el navegador remoto muestra una página en blanco, añade ese nombre a `.env` y reinicia:```bash
ALLOWED_DEV_ORIGINS=dev.office.example

Clona el repositorio e instala las dependencias: ```bash npm ci
Cree .env con valores de producción (DATABASE_URL, JWT_SECRET ≥ 32 caracteres).
Aplique las migraciones de la base de datos: ```bash npm run db:migrate
Ejecutar las comprobaciones previas al despliegue: ```bash npm run audit npm run typecheck npm run build
Inicie la aplicación con NODE_ENV=production: ```bash NODE_ENV=production npm run start

Ruta	Contenido
`engagement-manager-backup/database.dump`	Volcado completo de PostgreSQL en formato personalizado (esquema, tablas, datos, enums, relaciones) de `pg_dump`
`engagement-manager-backup/uploads/`	Archivos de capturas de pantalla de hallazgos referenciados en la base de datos

Inicia sesión como un usuario Admin.
Abre Admin y haz clic en Backup (bajo Database).
Guarda el .zip y cópialo al nuevo servidor (por ejemplo con scp o rsync): ```bash scp em-backup-2026-06-02-1430.zip user@new-server:/path/to/

Instala los Requisitos previos y clona el repositorio.
Crea .env con DATABASE_URL y JWT_SECRET (consulta Configuración del entorno).
Crea una base de datos PostgreSQL vacía y un usuario (consulta Configuración de la base de datos).
Instala las dependencias: npm ci.
Ejecuta las migraciones y el seed una vez para que un Admin pueda iniciar sesión. La restauración reemplaza estos datos de arranque con la copia de seguridad.
Compila e inicia la aplicación en modo producción (consulta Despliegue en producción): ```bash npm run build NODE_ENV=production npm run start
Inicie sesión como admin usando el archivo initial-admin-credentials.txt exclusivo del propietario, cambie la contraseña temporal y elimine el archivo de credenciales.
Abra Admin (/dashboard/users), haga clic en Restore (en Database), seleccione el .zip del servidor antiguo, introduzca su contraseña de administrador y confirme.
Reinicie la aplicación si ya estaba en ejecución para que cargue los datos restaurados.

Abra prisma/schema.prisma y añada el campo al modelo deseado: ```prisma model Engagement { id String @id @default(uuid()) codeName String focus String? // new field ... }
Cada cambio en prisma/schema.prisma debe ir seguido de: ```bash npx prisma migrate dev --name describe_your_change

Autenticación y cuentas: La cuenta admin predeterminada se genera mediante el seed de Prisma. Los roles Admin tienen acceso completo de creación/edición/eliminación a todos los registros. Los roles User pueden crear, editar y eliminar hallazgos y capturas de pantalla; todas las demás entidades (compromisos, clientes, contactos, operadores) son de solo lectura para los usuarios. Cada página del panel refresca la sesión contra la base de datos antes de leer datos confidenciales. Solo los administradores pueden acceder a la página de administración (/dashboard/users), gestionar cuentas, cambiar el color de resaltado de toda la aplicación y hacer copias de seguridad, restaurar o restablecer la base de datos. La copia de seguridad, la restauración y el restablecimiento requieren re-confirmación de contraseña. Crear una copia de seguridad es una Server Action; la descarga desde el navegador usa GET /api/db/backup?file=… con la sesión de Admin y una concesión firmada de cinco minutos en una cookie HttpOnly.
Gestión de sesiones: Las sesiones usan JWTs de jose almacenados en cookies HttpOnly, SameSite=Lax y una fila Session correspondiente en el servidor que el logout revoca. La expiración de la cookie se omite intencionalmente para mantener el comportamiento de sesión del navegador; tanto el token firmado como el registro de la base de datos expiran después de un día. La admisión transaccional retiene como máximo diez sesiones activas por cuenta.
Seguridad de la aplicación:
- El Proxy Edge de Next.js (src/proxy.ts) aplica comprobaciones de sesión y rotación de contraseña de 90 días en todas las rutas protegidas.
- Las Server Actions de Next.js reducen el riesgo de CSRF con protecciones integradas de mismo origen.
- Prisma mitiga automáticamente la inyección SQL parametrizando todas las consultas.
- React mitiga XSS escapando automáticamente los elementos HTML al renderizar.
- Las capturas de pantalla se almacenan con permisos de solo propietario y cuotas agregadas/por hallazgo acotadas. La eliminación usa marcadores pendientes recuperables; el arranque del panel, las subidas y las copias de seguridad reconcilian los archivos en disco con las referencias de la base de datos, con fallos de limpieza registrados en la salida de auditoría, errores detallados en los logs del servidor y una advertencia mostrada a los administradores. La reconciliación fallida del panel reintenta como máximo una vez por minuto por proceso; las subidas y las copias de seguridad siguen validando el almacenamiento de inmediato. La ruta autenticada /api/uploads evita IDOR y devuelve respuestas no-store.

endReporting

outbrief

objectives

targets

exclusions

notes

operators

contacts

trustedAgents

findings

findingContexts

createdAt

updatedAt

engagement-mgr

Más Populares

Redacción de hallazgos y generación de informes PDF

Seguridad de informes y despliegue

Verificación```bash

Requisitos previos

Configuración del entorno

Configuración de la base de datos

Desarrollo

Instalación

Configuración automatizada (Ubuntu)

Notas de actualización para la configuración reforzada y las copias de seguridad

Configuración manual

Ejecutar la aplicación

Despliegue en Producción

Requisitos

Pasos de despliegue

Lista de verificación para producción

Credenciales predeterminadas

Migración de servidor (Backup / Restore / Reset)

Plan de implementación y arquitectura

Stack tecnológico

Esquema de base de datos

Añadir nuevos campos

Arquitectura de seguridad