¿Están protegidos los datos de tus clientes? Tres comprobaciones

Una pantalla de inicio de sesión no basta para comprobar quién puede ver tus datos. Tres pruebas sencillas en tu propia aplicación y las comprobaciones que pedir a quien la construye.

Tu aplicación pide una contraseña, pero ¿cada usuario ve únicamente la información que le corresponde? Estas son tres primeras comprobaciones en tu propia aplicación con datos ficticios. Pueden revelar un problema visible; no sustituyen una revisión técnica de seguridad.

Entiende qué estás comprobando

Iniciar sesión permite identificar a una persona. Los permisos deciden después qué puede consultar o modificar. Un cliente conectado no debe obtener los datos de contacto de otro simplemente porque conoce la dirección de una página.

OWASP, una organización especializada en seguridad de aplicaciones, recomienda comprobar los permisos en cada petición, en el servidor o en la infraestructura adecuada. Ocultar un botón no basta: la petición debe rechazarse cuando no esté autorizada.

Prueba sin iniciar sesión

Abre tu aplicación en una ventana de navegación privada sin iniciar sesión. Prueba las direcciones de tus páginas habituales de trabajo. Una página pública puede ser normal; una lista confidencial de clientes no debe aparecer.

Cuando sea posible, hazlo en una versión de prueba con información ficticia. Anota la página, la acción y el resultado observado. Tendrás un ejemplo concreto para la persona que mantiene la aplicación.

Compara dos cuentas de prueba

Crea dos cuentas que controles y tengan funciones comparables. En cada una, añade una solicitud ficticia reconocible. Entra en la primera y comprueba que no encuentre la solicitud privada de la segunda en listas ni búsquedas.

Intenta también abrir la dirección de esa solicitud desde la otra cuenta, si tu aplicación utiliza esas direcciones. El resultado esperado depende de las reglas elegidas: un responsable puede acceder a varios expedientes, mientras que un cliente solo ve los suyos.

Revisa los archivos descargados

Si una cuenta ordinaria permite exportar datos, abre el archivo exportado. Solo debe contener información que esa cuenta tenga permiso para obtener. Pide que también se compruebe el acceso a los adjuntos: las reglas no afectan únicamente a páginas y tablas.

Un resultado correcto en estas pruebas no demuestra que todos los accesos estén protegidos. Pregunta qué controles técnicos y pruebas cubren los demás casos. Nuestra guía sobre riesgos de las aplicaciones creadas con IA ayuda a preparar esa conversación.

Si ves información que debería ser privada

Anota lo que ocurre sin difundir ni descargar más datos. Avisa a la persona responsable para restringir el acceso afectado y comprobar el alcance del problema. Después de corregirlo, repite la prueba que había fallado.

Con Maestro, describe desde el principio quién puede ver y modificar cada información y pide que se compruebe el resultado. Las etapas de validación no garantizan la seguridad. Tus datos también explica los intercambios con los asistentes durante la construcción.