Reautenticación antes de acciones sensibles

Una sesión puede quedar en manos de otro sin que nadie robe la contraseña: un equipo compartido que nadie cerró, una cookie copiada, un teléfono desbloqueado sobre la mesa. Si con esa sesión se puede cambiar el correo, el factor o la cuenta de pago, el acceso prestado se vuelve una toma permanente: el titular queda fuera y los avisos llegan al intruso.

La reautenticación pone un control justo antes de esas acciones: pedir de nuevo un factor si el último ingreso con factor quedó lejos, y, para cambiar la contraseña, pedir además la actual. La ventana se mide en minutos, porque la pregunta es si la persona está ahí ahora.

Un decorador de reautenticación solo protege las rutas que lo llevan. El fallo típico no está en el decorador sino en la ruta que alguien escribió sin él, a veces porque parecía un dato de perfil y no una acción sensible. Se encuentra cruzando la lista de la política con las rutas una por una.

Abre politica-acciones.txt y rutas_cuenta.py y compara cada acción con los decoradores de su ruta.

El decorador compara el tiempo transcurrido desde el último ingreso con factor con una constante. Si esa constante está en segundos, conviene pasarla a la unidad de la política antes de opinar: un número grande en segundos puede parecer razonable a primera vista.

La política pide algo más para cambiar la contraseña: escribir la actual. Es la prueba más barata de que quien está en la sesión es el titular, y protege incluso dentro de la ventana de reautenticación. Lee la ruta que cambia la contraseña en rutas_cuenta.py y fíjate en qué campos del formulario usa.