Mensajes de error que enumeran usuarios

Una ruta enumera usuarios cuando su respuesta cambia según exista o no la cuenta. El cambio puede estar en el texto («no hay ninguna cuenta con ese correo»), en el código de estado (404 frente a 401), o en el tiempo: si la aplicación solo deriva el resumen o solo envía el correo cuando la cuenta existe, esa respuesta tarda bastante más. La tercera forma es la que más se escapa en una revisión, porque el mensaje es idéntico.

Para revisarlo se comparan las dos variantes de cada ruta en los tres ejes a la vez. Se mira el ingreso, pero también la recuperación de contraseña y el registro, que suelen olvidarse.

El catálogo de MITRE separa los casos: una diferencia observable en el contenido de la respuesta y una diferencia observable en el tiempo tienen entradas distintas. Elegir bien importa porque el arreglo también es distinto: unificar el mensaje no basta si el tiempo sigue delatando.

Igualar el mensaje es una línea de código; igualar el tiempo exige que el camino de una cuenta inexistente haga el mismo trabajo caro que el de una que existe. En el ingreso, eso significa verificar la contraseña contra un resumen derivado con los mismos parámetros que los reales aunque no haya cuenta. En la recuperación, significa no esperar al servidor de correo dentro de la petición: el envío pasa a una cola y la respuesta sale igual en los dos casos.

Abre ingreso-v1.py e ingreso-v2.py y compara qué hace cada uno cuando el correo no existe.

En el informe también se dice lo que está correcto, para que el equipo sepa qué patrón copiar. Una ruta está bien cuando sus dos variantes coinciden en mensaje, en código y, dentro del ruido normal, en tiempo.

El registro tiene un problema propio: no puede aceptar dos cuentas con el mismo correo, así que algo tiene que pasar distinto. La salida habitual es responder siempre lo mismo en pantalla y llevar la diferencia al correo, que solo lee su dueño.