Enumeración de usuarios y mensajes de error

Enumerar usuarios es conseguir que la aplicación diga qué cuentas existen. No hace falta entrar: basta con que la respuesta cambie según el usuario exista o no. La señal puede ser el texto del mensaje, el código HTTP o el tiempo que tarda en responder. El catálogo de debilidades CWE la recoge como CWE-204, respuesta observable distinta, y su ejemplo clásico es justo el login con mensajes diferentes para «usuario inexistente» y «clave incorrecta».

Por qué importa: una lista de cuentas reales reduce el trabajo de quien quiera adivinar claves y sirve para armar correos de engaño creíbles. Por sí sola no da acceso, y eso condiciona la severidad que se le pone en el informe.

Abre la estación de revisión y lee respuestas-entrar.txt: cuatro peticiones al formulario de entrada, dos con cuentas de prueba reales y dos con nombres que no existen, todas con clave incorrecta. La evidencia de un hallazgo de este tipo es precisamente esa tabla: lo que se envió, lo que existía y lo que se vio en pantalla.

Un portal bien intencionado repite el mismo mensaje para todos los casos y aun así se delata. Si para una cuenta real hace trabajo extra —enviar un correo, calcular un hash— y para una inexistente no, la diferencia de tiempo es una señal. En la prueba se mide con muestras pequeñas y se anotan las cifras, sin ráfagas: aquí bastan cuatro filas por formulario.

Revisa respuestas-recuperar.txt y respuestas-registro.txt junto al de entrada. El registro de un portal sí puede decir «ese correo ya está registrado», y se valora aparte porque es parte de lo que hace un registro.

Una remediación se escribe contra la causa, y aquí la causa es que la respuesta depende de si la cuenta existe. Lo que se pide al cliente es respuesta única: mismo mensaje, mismo código y un tiempo comparable. En el registro, donde decir «ya existe» es poco práctico de evitar, la salida habitual es responder igual en pantalla y avisar por correo a la dirección afectada.

Lo que no sirve es tapar un síntoma: esconder el mensaje sin más deja al usuario real sin saber qué pasó, y bloquear direcciones por recibir un mensaje no toca la causa.