Registro y login con IA: la parte que no debes pedir a ciegas

La puerta no se le puede encargar a la suerte

Puerta de madera antigua y gastada con su cerradura visible a la entrada. — Identidad no es un botón de login: es quién entra, qué toca y qué pasa cuando se va. De toda tu app, esta es la parte donde la IA no puede improvisar.

Autenticarse es demostrar quién eres. Es la parte de tu app donde un error no es un bug: es una brecha. La IA la construye en segundos, pero si solo le pediste «login», usará el primer patrón que se le ocurra, no necesariamente el seguro. Aquí tú pones los requisitos y conviertes la seguridad en criterio de aceptación.

Los no-negociables al especificar el acceso

Estos cinco convertidos en criterios son la diferencia entre un login y una puerta abierta.
Requisito	Por qué importa	Cómo se lo pides a la IA
Contraseña cifrada (hash), nunca en texto plano	Si te roban la base, nadie recupera contraseñas	«guarda la contraseña con hashing, jamás en claro»
Longitud mínima y reglas	Contraseñas cortas se rompen fácil	«mínimo 8 caracteres, con mensaje claro»
No revelar cuál campo falló	Ayuda al atacante a adivinar cuentas	«mensaje genérico: credenciales incorrectas»
Limitar intentos	Frena la fuerza bruta	«bloquea tras N intentos seguidos»
La contraseña viaja por HTTPS	Evita que se lea en tránsito	«todo el flujo por HTTPS»

El viaje de una contraseña

Lo que NO debe pasar
Texto plano guardado y visible: una filtración entrega todas las claves.
Lo que SÍ debe pasar
Se guarda una huella (hash) irreversible; el login compara huellas, no la clave.

Para reforzar tokens y claves

Prompt con requisitos

Seguridad como criterio de aceptación

texto

Crea registro y login seguros para mi app. Requisitos OBLIGATORIOS (confirma cada uno al terminar):\n- la contraseña se guarda con hashing (bcrypt o similar), NUNCA en texto plano\n- minimo 8 caracteres al registrarse, con mensaje de error claro\n- al fallar el login, mensaje generico "correo o contrasena incorrectos" sin decir cual fallo\n- tras 5 intentos fallados seguidos, bloquea temporalmente ese correo\n- todo por HTTPS\n\nNo inventes un cifrado propio. Usa una libreria madura de hashing.

Le das las condiciones y le pides que confirme una por una. Así no dependes de que la IA «se acuerde» de hacerlo bien.

Prueba

La IA terminó tu login y, al revisar, ves que la base de datos guarda la contraseña tal como la escribe el usuario. ¿Qué requisito se incumplió?

Un mensaje de error que dice «el correo existe pero la contraseña no» es una buena práctica de seguridad.

Detecta el login inseguro

Revisas el resumen de lo que hizo una IA para el login. Señala la decisión peligrosa:

Marca la línea o las líneas con error y pulsa Comprobar.

Escribe los requisitos de seguridad de tu login como lista de criterios (cifrado, longitud, mensaje genérico, intentos, HTTPS). Pídele a la IA que los confirme uno a uno al entregar.

En autenticación, «funciona» no es suficiente: tiene que ser seguro por diseño.

Tu texto se guarda sólo en este dispositivo.