Actuator endpoints en Spring Boot: allowlist, no deshabilitar lo obvio

Spring Boot Actuator expone por defecto más de lo que la mayoría de los equipos se imagina. La diferencia entre un endpoint útil para monitoreo y un mapa de variables de entorno para un atacante está en una decisión que casi nadie toma explícitamente: allowlist versus deshabilitar lo que parece obvio.