Casos de uso y casos de abuso

Un caso de uso (o una historia de usuario) describe lo que una persona legítima quiere lograr: «como cliente, quiero pausar mi suscripción». Un caso de abuso describe a alguien que usa esa misma función para un fin que el negocio no quiere: pausar y reanudar en bucle para conservar un precio que ya no existe. OWASP tiene una hoja de referencia dedicada a escribirlos, y la idea de fondo es sencilla: por cada cosa que el producto promete hacer, preguntar quién querría usarla mal y para qué.

La diferencia con STRIDE es el punto de vista. STRIDE pregunta qué le puede pasar a una pieza técnica; el caso de abuso pregunta qué puede hacer una persona con una función. Muchos fallos de lógica de negocio no rompen nada técnico, y solo aparecen con esta segunda mirada.

Un borrador de casos de abuso se revisa igual que el diagrama: contra una fuente completa. Aquí la fuente son las historias de usuario del trimestre. Toda historia que mueve dinero, datos personales o permisos debería tener al menos un caso de abuso, aunque la conclusión sea «el riesgo es bajo y se acepta».

Cruza las historias con los casos del borrador: cada caso lleva entre paréntesis la historia que abusa.

Un caso de abuso útil tiene cuatro partes: quién lo hace (cliente, empleado, programa automático), qué gana, qué lo impide hoy y qué se propone. Se escribe al nivel del negocio, con palabras de producto, y no como una receta técnica: no hace falta saber cómo se haría para decidir que hay que impedirlo. Lo que lo vuelve accionable es la última parte, porque se convierte en un criterio de aceptación de la historia: algo que el equipo puede probar antes de dar la función por terminada.

Un caso de abuso que solo dice «un atacante podría abusar del cupón» no ayuda a nadie: no dice quién, ni para qué, ni qué hay que comprobar.

Soporte adjuntó los canjes de septiembre de un cupón de referido. La promesa de la historia es que un cliente invite a un vecino y los dos reciban descuento. Lo que muestra el extracto es otra cosa: cuentas «nuevas» que comparten la dirección y el medio de pago de quien invita, es decir, el mismo hogar cobrando el descuento una y otra vez. Ojo con las direcciones parecidas: un número distinto es otra casa.

El caso de abuso que faltaba se escribe ahora, y su propuesta tiene que volverse un criterio que el equipo pueda probar. Un buen criterio se comprueba en el servidor, con datos que el abusador no controla del todo, y no castiga al uso legítimo: un vecino de verdad vive en otra dirección y paga con su propio medio de pago.