Política de contraseña y bloqueo de cuenta

Un bloqueo de cuenta frena a quien adivina claves, pero tiene un coste: si cualquiera puede provocarlo escribiendo mal una clave ajena, el bloqueo sirve también para dejar fuera a usuarios reales. El catálogo CWE lo recoge como CWE-307, restricción inadecuada de intentos excesivos de autenticación, y sus mitigaciones no son solo «bloquear»: hay también retrasos entre intentos, bloqueos temporales y pruebas que cuestan trabajo al cliente.

Al revisar, se anotan tres cosas: cuántos fallos tolera, cuánto dura el bloqueo y si el límite vale igual en todos los canales de entrada, no solo en el formulario.

La guía de identidad digital del NIST (SP 800-63B, revisión 4) fija requisitos para las contraseñas: largo mínimo, aceptar largos grandes, no imponer reglas de composición, no obligar a cambiarlas por calendario y compararlas con listas de claves filtradas. Una revisión no mide contra la costumbre, mide contra un criterio citado, y ese criterio lo trae el encargo.

Lee politica-observada.txt y el resumen referencia-nist.txt. Una de las reglas observadas es justo de las que la guía dice que no se impongan por calendario.

Una cuenta puede tener un bloqueo perfecto en el formulario web y ninguno en la API que usa la aplicación móvil. La guía lo cubre con la prueba de autenticación más débil en un canal alternativo (WSTG-ATHN-10). Por eso la prueba de bloqueo se repite en cada canal que acepte una clave, con el mismo tope de intentos pactado.

Lee prueba-de-bloqueo.txt: son dos canales, cada uno con su resultado.

El hallazgo de bloqueo se redacta con el número concreto: «el formulario tolera N fallos y bloquea 30 minutos». Ese número no aparece escrito como tal: sale de contar los intentos que todavía respondieron con la clave incorrecta antes del primero que dijo «bloqueada».

Una remediación útil dice qué cambiar, dónde y cómo se comprueba. «Mejorar la seguridad de la API» no es una remediación. Para el canal sin bloqueo, la causa es que la API no comparte el control del formulario; arreglar solo el formulario, o cerrar un canal entero, no la toca.