La API espera un string.
**Categoría:** [Web · OWASP Top 10](/glosario) 🎯 **Trinchera** — La API espera un string. Le mandas un array, un booleano o un objeto anidado. El parser del lenguaje fuertemente tipado entra en pánico y vomita un *stack trace* completo, delatando el framework. 🔗 **Kill chain** — Reconocimiento pasivo. No es exploit per se; te da fingerprint del backend (Spring Boot, Laravel, Express) sin disparar el WAF. 📡 **Huella defensiva** — El error en sí no es alarmante para el WAF (no hay SQL, ni XSS), pero sí debería loguearse como **excepción no controlada**. ⚠️ **Falso amigo** — Confiar en `Server: Cloudflare` para asumir opacidad. Cloudflare oculta cabeceras, no errores de aplicación. 🛡️ **Remediación** — Manejador global de excepciones que devuelve respuestas estériles. Mismo código HTTP, mismo cuerpo, sin importar qué falló. ```javascript theme={null} // Express middleware global app.use((err, req, res, next) => { console.error(err); // log interno res.status(400).json({ status: 400, error: "Invalid payload" }); }); ``` *** ← [Volver al glosario completo](/glosario) *Última actualización: 2026-06-11*