CreadPag

🧾 Día 8 — Headers

👉 Aquí vive la magia… y muchos fallos.

Authorization, cookies, content-type…

Manipular headers = cambiar comportamiento del servidor.

💡 Pregunta incómoda:
¿Estás probando sin token? ¿Con otro? ¿Duplicando headers?

🗑️ Día 7 — DELETE

👉 El endpoint más peligroso… y más ignorado.

Si puedes borrar lo que no es tuyo… game over.

💡 Pregunta incómoda:
¿Validan realmente quién hace la petición?

👉 Todo lo que va en la URL… es visible.

Parámetros = superficie de ataque.

Si puedes verlo, puedes manipularlo.

💡 Pregunta incómoda:
¿Estás modificando valores o solo observando?