El papelito que te identifica

Ya lo viste: la web no recuerda. Cada petición llega al servidor sin ninguna relación con la anterior.

Eso choca con todo lo que haces a diario. Inicias sesión una vez y sigues dentro durante días. ¿Cómo?

Con un papelito. En la respuesta al inicio de sesión, el servidor manda una cookie: un dato pequeño que tu navegador guarda y vuelve a enviar en cada petición a ese sitio, automáticamente.

El servidor no te recuerda. Tú le recuerdas quién eres, cada vez.

Y ahí está lo importante: esa cookie no lleva tu contraseña. Lleva la prueba de que ya la diste — normalmente un identificador largo y aleatorio que el servidor tiene apuntado junto a tu usuario.

Si el servidor le cree a quien enseñe el papelito, entonces quien consiga tu papelito es tú, para todos los efectos.

No necesita tu contraseña. No dispara el aviso de «inicio de sesión desde un dispositivo nuevo», porque no hubo inicio de sesión. Y la verificación en dos pasos tampoco ayuda: esa se pide al iniciar sesión, y aquí no se está iniciando nada.

Eso convierte a las cookies de sesión en uno de los objetivos más buscados que hay, y explica tres protecciones que verás siempre:

HttpOnly. Marca la cookie como no legible desde JavaScript. Si alguien consigue ejecutar código en la página, sigue sin poder leerla.

Secure. Solo se envía por conexiones cifradas. Sin esto, la cookie viajaría en claro en cualquier red — incluido el wifi de una cafetería.

Caducidad y cierre de sesión de verdad. «Cerrar sesión» tiene que invalidar el identificador en el servidor, no solo borrar la cookie del navegador. Si solo la borra, la copia que alguien te robó sigue funcionando.

Ese último punto es el que más se hace mal, y es fácil de comprobar en una revisión: cierra sesión, vuelve a enviar la cookie vieja, y mira si el servidor todavía te reconoce.

Ahora se puede decir con precisión qué le faltaba a /agenda-interna, y no es lo que casi todo el mundo contesta.

Mucha gente diría: «le faltaba pedir inicio de sesión». Y es verdad a medias.

Lo que faltaba es la comprobación en cada petición. Porque el servidor no recuerda, cada vez que alguien pide esa página el servidor tiene que preguntarse dos cosas, en este orden:

1. ¿Quién es este? Mirar la cookie. Si no hay, es un desconocido. — autenticación
2. ¿Este puede ver esto? Comprobar que su usuario sea de coordinación. — autorización

La clínica no hacía ni la primera. Pero fíjate en que hacer solo la primera tampoco habría bastado: cualquier paciente con sesión iniciada habría visto la agenda completa igual, porque nadie comprobaba el segundo punto.

Esa distinción es la que hay que llevarse del módulo:

Autenticación es saber quién eres. Autorización es saber qué puedes ver. Y como el servidor no recuerda, las dos se comprueban en cada petición, sin excepciones.

Poner una pantalla de acceso delante y confiar en que quien pase ya está autorizado es exactamente el error que dejó la agenda abierta.