El tráfico y la API

Con una sesión válida de una cuenta de prueba, pedir los movimientos de otra cuenta y recibirlos es un control de acceso roto: el servidor comprueba que quien pide está identificado, pero no de quién es lo que pide. Una petición sin token que recibe 401 y una cuenta inexistente que recibe 404 son el servidor haciendo bien su trabajo.

Si el servidor guarda un campo tal como llega del cliente, el cliente decide ese valor. Entre las transferencias de la captura, una guarda la comisión con un número que ninguna tarifa produciría, y otra rechaza un monto inválido, lo que prueba que el servidor valida algunos campos y otros no.

El tamaño de un ataque de adivinación se mide en intentos que el servicio aceptó antes de reaccionar. El registro resume los fallos por minuto desde una misma dirección contra un mismo usuario, y termina con un acierto. Con el bloqueo sin configurar, la cifra es la prueba de que nadie frenó nada.

Cerrar sesión en la app borra el token del teléfono, pero esa es una acción del cliente. Si el servidor no lleva control de qué tokens siguen vigentes, el mismo token sirve hasta que venza, para quien lo hubiera copiado antes. La prueba de cierre de sesión muestra eso: una petición después del cierre, con el mismo token, recibe 200.

La app fija el certificado de su servidor, y la captura de esta sala se tomó en un emulador de laboratorio con el certificado del proxy que la cooperativa autorizó. Eso mide tu equipo de análisis, no a un usuario en una red pública, cuyo canal sigue cifrado de extremo a extremo.