Sesión y autenticación en la API: caducidad, revocación y fuerza bruta

Cierras sesión en Colibrí y, con el proxy, repites una petición usando el token de esa sesión que acabas de cerrar. El servidor responde con normalidad: el token sigue valiendo. Significa que «cerrar sesión» era un gesto del cliente —borrar el token del dispositivo— y que el servidor nunca lo invalidó. Un token que se filtró antes de cerrar sesión sigue sirviendo después, hasta que caduque por su cuenta. Esto enlaza con el almacenamiento: de nada vale guardar el token en el almacén protegido si, una vez fuera, el servidor lo honra para siempre.

La mitigación vive en el servidor: tokens de vida corta y una forma de revocarlos, de modo que cerrar sesión —o detectar un abuso— deje el token muerto de inmediato, sin esperar a que caduque.

En la API de Colibrí repites la petición de inicio de sesión con contraseñas distintas, una tras otra, y el servidor responde a todas sin frenar ni bloquear la cuenta. Sin un límite de intentos, una cuenta se puede probar a fuerza bruta: se lanzan miles de contraseñas comunes hasta acertar. El fallo no está en la contraseña del usuario, sino en que el servidor no pone ningún coste a equivocarse muchas veces seguidas. Es un fallo de la API, no del cliente: da igual lo que haga la aplicación, el atacante habla directo con el servidor.

La mitigación es del servidor: limitar los intentos por cuenta y por origen, bloquear temporalmente tras varios fallos y registrar el patrón para poder reaccionar.

Los dos casos de esta sala comparten la lección del módulo: la gestión de la sesión no es algo que el cliente pueda garantizar. El cliente puede borrar su token y mostrar una pantalla de inicio de sesión, pero quién tiene una sesión válida, cuánto dura y cuántos intentos se permiten lo decide el servidor en cada petición. Confiar eso al cliente es el mismo error de todo el módulo, trasladado de los recursos a la sesión. El arreglo, también: tratar cada petición como potencialmente manipulada y resolver la confianza en el servidor.

En Colibrí estos hallazgos van al servidor —vida y revocación del token, límite de intentos—, junto a los de control de acceso de la sala anterior. El cliente no cierra ninguno.

Abre el laboratorio y prueba contra la API de Colibrí la petición con el token de una sesión ya cerrada. Comprueba que el servidor la sigue aceptando: junto a la revisión de esa prueba hay un código de la sala. Escríbelo tal cual.