¿Qué demuestra el inicio de sesión?
La autenticación trata la identidad, la autorización las acciones y la sesión la continuidad del acceso. Separarlas permite concretar la prueba.
NIST SP 800-63B-4 distingue la autenticación criptográfica resistente al phishing de los códigos de un solo uso introducidos manualmente. La solidez del acceso es una pregunta específica. [1]
Permisos después de entrar
Estar autenticado no debería permitir acceder a cualquier factura o función de administración. OWASP mantiene el control de acceso defectuoso como categoría en Top 10:2025.
Recomendamos una matriz sencilla: rol, objeto, acción permitida y rechazo esperado. « Probar el acceso » resulta demasiado impreciso. [2]
Un caso ficticio
Dos organizaciones cliente tienen cada una un rol de prueba normal y otro administrativo. La regla acordada limita las exportaciones de facturas a su organización.
El resultado describe roles, comportamiento esperado, comportamiento observado y función afectada. Un defecto en una exportación no se convierte en una afirmación sin evidencia sobre toda la aplicación.
Comprobar el final del acceso
Proponemos tres transiciones: cerrar sesión, cambiar el rol y suspender la cuenta. Definir qué sesión o función debe dejar de estar disponible.
La nueva comprobación conserva las condiciones originales o documenta las diferencias. Un escenario distinto no debe confundirse con una corrección satisfactoria.
Preparar expectativas explícitas
Nuestra propuesta de preparación:
- Identidades de prueba con roles distintos
- Dos organizaciones de prueba cuando proceda
- Objetos y funciones autorizados
- Resultados esperados tras cierre y suspensión
- Criterios de aceptación y nueva comprobación
Lecturas relacionadas
Fuentes y lecturas
Fuentes primarias verificadas el 26.09.2026.
Las fuentes y los límites se indican en el artículo.