La puerta no se le puede encargar a la suerte
Autenticarse es demostrar quién eres. Es la parte de tu app donde un error no es un bug: es una brecha. La IA la construye en segundos, pero si solo le pediste «login», usará el primer patrón que se le ocurra, no necesariamente el seguro. Aquí tú pones los requisitos y conviertes la seguridad en criterio de aceptación.
Los no-negociables al especificar el acceso
| Requisito | Por qué importa | Cómo se lo pides a la IA |
|---|---|---|
| Contraseña cifrada (hash), nunca en texto plano | Si te roban la base, nadie recupera contraseñas | «guarda la contraseña con hashing, jamás en claro» |
| Longitud mínima y reglas | Contraseñas cortas se rompen fácil | «mínimo 8 caracteres, con mensaje claro» |
| No revelar cuál campo falló | Ayuda al atacante a adivinar cuentas | «mensaje genérico: credenciales incorrectas» |
| Limitar intentos | Frena la fuerza bruta | «bloquea tras N intentos seguidos» |
| La contraseña viaja por HTTPS | Evita que se lea en tránsito | «todo el flujo por HTTPS» |
[El viaje de una contraseña]
Esta actividad interactiva ('Explicacion visual') requiere el motor completo de Lumbre. El contenido estatico se muestra arriba; para la experiencia interactiva, visita la version online de este objeto.
Para reforzar tokens y claves
Tokens, autenticación y claves: protege tus accesos
OA publicado sobre cómo se autoriza una llamada. Aquí defines el flujo de acceso y sus requisitos de seguridad.
Prompt con requisitos
Crea registro y login seguros para mi app. Requisitos OBLIGATORIOS (confirma cada uno al terminar):\n- la contraseña se guarda con hashing (bcrypt o similar), NUNCA en texto plano\n- minimo 8 caracteres al registrarse, con mensaje de error claro\n- al fallar el login, mensaje generico "correo o contrasena incorrectos" sin decir cual fallo\n- tras 5 intentos fallados seguidos, bloquea temporalmente ese correo\n- todo por HTTPS\n\nNo inventes un cifrado propio. Usa una libreria madura de hashing.Prueba
La IA terminó tu login y, al revisar, ves que la base de datos guarda la contraseña tal como la escribe el usuario. ¿Qué requisito se incumplió?
Un mensaje de error que dice «el correo existe pero la contraseña no» es una buena práctica de seguridad.
Detecta el login inseguro
Revisas el resumen de lo que hizo una IA para el login. Señala la decisión peligrosa:
- Hash de la contraseña con una librería madura.
- Bloqueo temporal tras varios intentos fallados.
- Un cifrado «hecho a mano» inventado por la IA, guardando además la contraseña en claro para «poder recordarla».
- Mensaje de error genérico al fallar las credenciales.
Identifica la linea con error.
Escribe los requisitos de seguridad de tu login como lista de criterios (cifrado, longitud, mensaje genérico, intentos, HTTPS). Pídele a la IA que los confirme uno a uno al entregar.