Perché il test della reimpostazione della password viene trascurato
La maggior parte degli sviluppatori testa il flusso di reimpostazione una volta con il proprio indirizzo email e lo considera fatto. Dopo la quinta esecuzione di test, la casella di posta è piena di messaggi identici "Reimposta la tua password". Si perde il conto di quale link appartiene a quale esecuzione e alla fine si smette di testare accuratamente perché è diventato noioso. Esattamente quel tipo di compiacenza lascia entrare bug gravi in produzione.
Cosa devi effettivamente testare in un flusso di reimpostazione
Un semplice controllo "invia un'email?" non è sufficiente. Il OWASP Authentication Cheat Sheet descrive un insieme completo di requisiti:
- Consegna dell'email — l'email di reimpostazione arriva, e rapidamente?
- Correttezza del link — il link porta alla pagina giusta con il token corretto?
- Scadenza del token — un token scaduto viene correttamente rifiutato dopo 25 ore?
- Uso singolo — lo stesso link di reimpostazione può essere usato due volte? Non dovrebbe.
- Invalidazione alla nuova richiesta — il primo token diventa invalido se l'utente richiede un'altra reimpostazione?
- Account SSO — cosa succede con gli utenti registrati tramite OAuth?
- Limitazione della frequenza — c'è un limite alle richieste di reimpostazione per indirizzo?
L'approccio dell'email temporanea — passo dopo passo
La soluzione più pulita è un nuovo indirizzo email temporaneo per ogni esecuzione di test. Apri una casella di posta temporanea, copia l'indirizzo, registra un account di test nella tua applicazione, attiva una reimpostazione e osserva l'email arrivare in tempo reale. Fai clic sul link, verifica il flusso completo e conferma che il login funziona. Per un altro scenario, apri semplicemente una nuova scheda del browser.
La checklist di sicurezza dei token
I token di reimpostazione della password sono una superficie di attacco comune. Secondo OWASP, un'implementazione sicura deve:
- Almeno 32 caratteri, generati crittograficamente in modo casuale
- Scadere entro 24 ore, idealmente entro 1 ora
- Essere a uso singolo — invalidato immediatamente dopo il riscatto
- Essere invalidato quando viene richiesta una nuova reimpostazione
- Essere limitato per frequenza per indirizzo email
- Non essere mai registrato in testo in chiaro
Includi la reimpostazione nella tua suite di regressione
La reimpostazione della password si rompe silenziosamente quando le librerie di autenticazione vengono aggiornate. Aggiungi almeno un test end-to-end di base: crea programmaticamente un account di test, attiva una reimpostazione, intercetta l'email in uscita e verifica il token. Verifica la configurazione di autenticazione del tuo dominio con MXToolbox e consulta Troy Hunt per una prospettiva approfondita sulle violazioni della sicurezza reali.