Flujos de restablecimiento de contraseña que no filtran cuentas ni tokens

Objetivo

Permitir que una persona que perdió su contraseña recupere el acceso sin dar a un atacante una forma de apropiarse de la cuenta ni de averiguar qué direcciones están registradas.

Requisitos previos

Contraseñas almacenadas como hashes lentos y con sal; una vía de envío de correo (u otro canal alternativo) que controle la aplicación; un limitador de tasa que pueda contar por cuenta y por dirección de origen.

Pasos

1. Aceptar el formulario de solicitud para cualquier entrada. La hoja de referencia de OWASP (citada) pide un mensaje consistente para cuentas existentes y no existentes, y un tiempo de respuesta consistente; realizar el mismo trabajo en ambas ramas en lugar de devolver una respuesta anticipada.
2. Limitar la tasa de solicitudes por cuenta y por origen, de modo que un atacante no pueda inundar la bandeja de entrada de una víctima ni forzar tokens por fuerza bruta.
3. Generar el token con un generador aleatorio criptográficamente seguro, lo bastante largo como para resistir la adivinación, vinculado a una sola persona usuaria, con una caducidad corta; almacenar solo un hash del token, igual que con una contraseña. Los tokens firmados como los JWT son posibles, pero traen sus propios modos de fallo.
4. Construir la URL de restablecimiento a partir de un origen configurado, nunca a partir de la cabecera Host de la solicitud, de modo que una cabecera envenenada no pueda redirigir el enlace al dominio de un atacante. Usar HTTPS.
5. Servir la página de restablecimiento con Referrer-Policy: no-referrer para que el token de la URL no se filtre a recursos de terceros, y limitar también la tasa del endpoint del token.
6. No cambiar nada de la cuenta hasta que se presente un token válido: sin bloqueo, sin marca, sin cambio de contraseña.
7. Con un token válido: exigir la nueva contraseña dos veces, aplicar la política de contraseñas habitual, almacenarla, invalidar el token, e invalidar las demás sesiones u ofrecer hacerlo. No iniciar sesión automáticamente desde la página de restablecimiento; dirigir a la persona al inicio de sesión normal.
8. Enviar una notificación de que la contraseña cambió (sin incluir la contraseña). Mantener una vía para personas usuarias que ya no controlan el canal alternativo, como un contacto de soporte verificado.

Resultado esperado

Una solicitud de restablecimiento para una dirección desconocida y para una conocida son indistinguibles para quien la solicita; un enlace interceptado caduca rápido y funciona una sola vez; una inyección de cabecera Host o una filtración por referrer no producen nada utilizable.

Límites y base de verificación

Sigue la hoja de referencia citada; no se afirma ninguna medición. Los PIN por SMS (de 6 a 12 dígitos, enviados por un canal alternativo) cambian la longitud del token por una sesión limitada que puede restablecer únicamente la contraseña. Las preguntas de seguridad por sí solas no son un método de recuperación. Las cuentas con MFA necesitan la vía de recuperación de MFA, no esta.