Cerrar sesión de verdad en el servidor

Cerrar sesión es una operación del servidor: la sesión tiene que dejar de existir en el almacén, de modo que el identificador ya no apunte a nada. Borrar la cookie en el navegador es cortesía, no seguridad. Una copia del identificador (en otro navegador, en un registro, en manos de alguien que lo obtuvo antes) sigue sirviendo mientras el servidor la acepte.

NIST SP 800-63B (revisión 4) exige que los secretos de la sesión queden borrados o invalidados cuando la persona cierra sesión, y la guía de sesión de OWASP pide que el cierre invalide la sesión en el servidor y que el botón para hacerlo esté a la vista en todas las páginas. Cuando no ocurre, MITRE lo trata como expiración insuficiente de la sesión (CWE-613).

El equipo concluyó que el botón «funciona» porque la persona vuelve a la pantalla de ingreso. Pero su propia prueba hizo algo más: después de salir, volvió a enviar la cookie que había guardado de su sesión.

Abre salir-web.js y prueba-reuso.txt en el laboratorio.

En la misma empresa hay un cierre bien hecho. No siempre hay que inventar el arreglo: a veces basta con señalar el código que ya lo resuelve y pedir que el otro haga lo mismo. Compara los dos manejadores y las dos partes de la prueba.

Tienes que escribir el hallazgo para el equipo del panel. Elige la redacción que describe bien el fallo y su evidencia.