El papelito de la sesión

Autenticarse es demostrar quién eres una vez; la sesión es lo que te evita repetirlo en cada clic. El servidor te entrega una cookie que dice «este ya se identificó», y la presentas en cada petición. Por eso robar esa cookie equivale a entrar como el usuario sin saber su contraseña: no hace falta la clave, basta el papelito que prueba que se usó. En Salitre, la cookie de sesión es justo esa prueba.

Quien tiene la sesión, tiene el acceso. Por eso proteger la cookie importa tanto como proteger la contraseña que la originó.

Una cookie de sesión está bien protegida cuando viaja solo por conexiones cifradas, caduca en un tiempo razonable y es imposible de adivinar. Falle cualquiera de las tres y queda expuesta: si viaja sin cifrar, quien mire la red la copia; si no caduca, vale para siempre; si es predecible, se adivina sin robarla. En Salitre, la revisión encuentra que la cookie flojea en varias de esas propiedades a la vez.

No es una sola casilla: es un conjunto. Una cookie segura lo es por cómo viaja, cuánto dura y cuán difícil es de predecir, las tres cosas juntas.

Más allá del cifrado, una cookie que no caduca nunca es un acceso permanente: aunque el usuario cierre, la prueba sigue valiendo para quien la tenga. Y una cookie predecible se puede fabricar sin robar nada, adivinando el patrón. Por eso la gestión sana exige caducidad y aleatoriedad reales. En Salitre, la cookie ni caduca ni es del todo impredecible, y cada una de esas dos cosas es una puerta abierta por su lado.

Una sesión eterna y adivinable es como una llave que nunca cambia y que además es fácil de copiar. El cifrado tapa una vía; la caducidad y la aleatoriedad tapan las otras dos.

Las flaquezas de la cookie no se suponen: se leen en la revisión de sus propiedades. Abre el laboratorio, revisa la gestión de sesión de Salitre y baja hasta el código de sala al pie.