Criterios de aceptación que se pueden comprobar

Un criterio de aceptación comprobable dice una situación de partida, una acción y un resultado que se puede observar: «dado esto, cuando pasa esto, entonces se ve esto». El resultado lleva valores concretos (un código de respuesta, un mensaje, un tiempo, un tamaño) que cualquiera del equipo puede comprobar y que dan lo mismo sin importar quién los mire.

Las palabras que no se pueden medir lo vuelven opinión: «adecuado», «robusto», «suficiente», «rápido», «seguro». Dos personas pueden leer el mismo resultado y discrepar sobre si es «robusto».

Abre el laboratorio y lee criterios-sprint-14.txt entero. Casi todos siguen la forma «dado, cuando, entonces» con valores concretos. Hay uno que no tiene situación, ni acción, ni resultado: solo adjetivos.

En la primera sala se vio que muchos capítulos piden documentar decisiones antes de probar. Esas decisiones son la fuente de los valores de los criterios: si la política de sesión fija un tiempo de inactividad, el criterio usa ese tiempo, no otro. Un criterio que no coincide con la política hace que la prueba pase en verde con un valor que la empresa no aprobó.

Compara politica-sesion.txt con los criterios de las historias de sesión.

Un criterio puede ser comprobable y aun así no cumplir el requisito. ASVS pide, desde el nivel 1, que una contraseña tenga al menos 8 caracteres; y en el nivel 2 pide además que el sistema admita contraseñas de al menos 64, para que nadie se vea obligado a acortar una frase larga. La historia HU-205 cita los dos requisitos, pero su criterio fija un máximo.

Un criterio que solo prueba el camino feliz deja sin comprobar lo que el requisito protege. El requisito de HU-202 pide que la extensión coincida con el contenido real; la política de archivos dice que se comprueba por el contenido. CA-09 solo comprueba que un JPG válido se acepta: eso pasaría igual si el portal no revisara nada.