Por qué las pruebas de restablecimiento de contraseña se descuidan
La mayoría de los desarrolladores prueba el flujo de restablecimiento una vez con su propio correo electrónico y lo dan por hecho. Después del quinto intento, la bandeja de entrada está llena de mensajes idénticos de "Restablece tu contraseña". Se pierde la pista de qué enlace corresponde a qué ejecución y eventualmente se deja de probar exhaustivamente porque resulta demasiado molesto. Exactamente esa clase de complacencia deja que errores graves lleguen a producción.
Qué realmente necesitas probar en un flujo de restablecimiento
Una simple comprobación de "¿envía un correo?" no es suficiente. El OWASP Authentication Cheat Sheet detalla un conjunto completo de requisitos:
- Entrega del correo — ¿llega el correo de restablecimiento, y con rapidez?
- Corrección del enlace — ¿lleva el enlace a la página correcta con el token correcto?
- Caducidad del token — ¿se rechaza correctamente un token caducado después de 25 horas?
- Uso único — ¿se puede usar el mismo enlace de restablecimiento dos veces? No debería.
- Invalidación al nuevo solicitar — ¿se invalida el primer token si el usuario solicita otro restablecimiento?
- Cuentas SSO — ¿qué ocurre con usuarios registrados vía OAuth?
- Limitación de velocidad — ¿hay un límite en las solicitudes de restablecimiento por dirección?
El enfoque de correo temporal — paso a paso
La solución más limpia es una dirección de correo temporal nueva para cada ejecución de prueba. Abre una bandeja de entrada temporal, copia la dirección, registra una cuenta de prueba en tu aplicación, activa un restablecimiento y observa el correo llegar en tiempo real. Haz clic en el enlace, verifica el flujo completo y confirma que el inicio de sesión funciona. Para otro escenario, simplemente abre una nueva pestaña del navegador.
La lista de verificación de seguridad del token
Los tokens de restablecimiento de contraseña son una superficie de ataque común. Según OWASP, una implementación segura debe:
- Al menos 32 caracteres, generados criptográficamente de forma aleatoria
- Caducar en 24 horas, idealmente en 1 hora
- Ser de uso único — invalidado inmediatamente tras el canje
- Invalidarse cuando se solicita un nuevo restablecimiento
- Estar limitado por velocidad por dirección de correo
- Nunca registrarse en texto plano
Incluye el restablecimiento en tu suite de regresión
El restablecimiento de contraseña se rompe silenciosamente cuando se actualizan las bibliotecas de autenticación. Añade al menos una prueba básica de extremo a extremo: crea programáticamente una cuenta de prueba, activa un restablecimiento, intercepta el correo saliente y verifica el token. Comprueba la configuración de autenticación de tu dominio con MXToolbox y consulta Troy Hunt para perspectiva sobre brechas de seguridad reales.