Trata un número de cuenta secreto como una credencial: audítalo

Un campo etiquetado como número de cuenta no es automáticamente una referencia pública, y la etiqueta no es la prueba. La prueba es lo que permite la posesión: si conocer el número inicia sesión en nombre de alguien, descarga un perfil de conexión o autoriza un dispositivo, ese número es una credencial con un ciclo de vida. Ejecuto las cinco comprobaciones siguientes siempre que un servicio entrega una identidad numérica y la llama inofensiva. Cada una produce una línea en un registro breve, y el registro es el entregable, no un veredicto sobre el producto.

Inventaría qué concede realmente la posesión

Anota por separado cada acción que desbloquea el número. Iniciar sesión en un portal, obtener un archivo de configuración, autorizar un dispositivo nuevo y proporcionar un inicio de sesión de túnel aceptado son autoridades distintas, y un servicio puede implementar una sin las otras. Un portal que acepta el número como único campo no te dice nada sobre cómo autentica el túnel a su par más tarde ni sobre cómo se derivan las claves de tráfico.

El modelo general es fácil de enunciar: una credencial de portador es aquella que el titular puede usar sin demostrar la posesión de una clave criptográfica separada, que es la distinción que RFC 6750 traza para los tokens. Es una comparación, no la afirmación de que un servicio basado en un número implemente OAuth. Si el titular no necesita nada más, trata el número como un secreto de portador y clasifica el resto del diseño en consecuencia.

Protégelo como un secreto, no como una referencia

El almacenamiento se deriva de la clasificación. Un valor que inicia sesión pertenece a un gestor de contraseñas, no a una captura de pantalla, un historial del portapapeles, un mensaje de chat o una nota del navegador. Las capturas de pantalla son la fuga habitual: el número es corto y parece inofensivo, así que acaba en un hilo de soporte que sobrevive al dispositivo del que salió.

El phishing es el otro modo de fallo, y no le importa cuán aleatorio sea el número. Un impostor que quiera el valor te pedirá que lo pegues en un formulario, y una credencial que nunca caduca y no tiene segundo factor merece el esfuerzo. Llega a la ruta de inicio de sesión desde un marcador o una dirección conocida, no desde un enlace en un mensaje que también pide el número.

Trata el material de recuperación como parte del secreto. Si el operador también emitió un código de recuperación, un PIN o una dirección de correo que puede restablecer la cuenta, son credenciales separadas con el mismo requisito de protección. Un solo canal de restablecimiento desprotegido convierte todos los demás controles en decoración.

Comprueba juntos la resistencia a los intentos y la limitación de tasa

La longitud solo tiene sentido junto al método de generación. Un número largo producido por una secuencia predecible es más débil que un valor corto producido por un generador criptográfico, y un número de dígitos impresionante no establece imprevisibilidad. Pregunta cómo se genera el valor antes de razonar sobre lo difícil que es adivinarlo.

La resistencia a los intentos por sí sola tampoco sobrevive a una tasa de intentos ilimitada. Los controles que importan son los que implementa el operador: contadores de intentos fallidos, bloqueos, limitación por origen y si un número incorrecto se distingue de uno inexistente. Si el servicio lo admite, un intento fallido te muestra cómo es el error y si aparece un contador de reintentos:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

Registra lo que revela la respuesta. Un error distinto para una cuenta desconocida es un oráculo de enumeración incluso cuando el número es imposible de adivinar, y ese hallazgo pertenece al registro, tanto si puedes corregirlo desde el cliente como si no.

Planifica la rotación y la revocación antes de necesitarlas

Encuentra el proceso admitido para un número perdido o expuesto y anótalo mientras todo funciona. ¿Se puede reemplazar la credencial de la cuenta? ¿El reemplazo invalida los dispositivos ya inscritos, las sesiones activas o la configuración descargada? ¿Qué material de recuperación exige el proceso? Un servicio sin dependencia del correo puede trasladar más responsabilidad de recuperación al usuario, lo que hace el procedimiento más importante, no menos.

Separa el reemplazo de la cuenta de la revocación de la credencial. Si el número autoriza la descarga de una clave, un certificado o un perfil, reemplazar el número puede dejar válido ese material descargado, y revocar el material descargado puede ser otra operación con otro propietario. No supongas que un campo cambiado termina todas las conexiones; comprueba el modelo real del operador y anota dónde lo verificaste.

Documenta la decisión y vuelve a comprobarla más adelante

Mantén un registro de una página por servicio: qué autoridades concede el número, dónde se almacena, quién puede restablecerlo, qué pruebas de uso existen y qué harías en la primera hora tras una divulgación. Ese registro es lo que convierte una discusión sobre terminología en una decisión que alguien puede auditar.

Las afirmaciones de privacidad necesitan su propio alcance. Un número generado aleatoriamente puede seguir siendo un identificador estable que vincula eventos de cuenta a lo largo del tiempo; la imprevisibilidad no es la no vinculabilidad, y ninguna de las dos propiedades dice nada sobre los metadatos de red conservados. Compara diseños completos en lugar de contar campos en una pantalla de inicio de sesión.

Antes de archivarlo:

• Se enumeran todas las autoridades que concede el número, incluidas las descargas y la autorización de dispositivos.
• Los canales de almacenamiento y recuperación están protegidos con el mismo estándar que el propio número.
• El método de generación y los límites de tasa se conocen, no se suponen por la longitud.
• Existen un procedimiento de reemplazo y otro de revocación, y sabes cuál anula a cuál.
• El registro indica quién puede restablecer el valor y qué pruebas quedan tras su uso.