Un buzón de prueba ayuda a un equipo de seguridad a observar un flujo de registro o recuperación. Debe tratarse como parte del entorno de pruebas, con un propietario y un límite acordado, en lugar de ser un destino sin restricciones para secretos de producción.
Escriba el alcance antes de probar
- Identifique la aplicación y el entorno que está autorizado a probar.
- Utilice cuentas sintéticas y establezca un presupuesto de solicitudes con el propietario del sistema.
- Elija un buzón cuyo control de acceso coincida con la sensibilidad de los mensajes.
- Establezca un tiempo de limpieza e identifique quién puede ver la evidencia.
Pruebe los límites, no solo la entrega exitosa
Para una aplicación que controla, verifique que un enlace de confirmación esté vinculado a la cuenta prevista, que no pueda reutilizarse después de completarse y que produzca un resultado comprensible tras su caducidad. Compruebe el comportamiento cuando se realiza una segunda solicitud de confirmación. Documente el comportamiento esperado antes de decidir que una diferencia es una vulnerabilidad.
Mantenga los secretos fuera de los informes
Una captura de pantalla que contenga una URL de restablecimiento en vivo puede otorgar acceso tan eficazmente como el correo electrónico original. Redacte códigos, tokens, cookies y direcciones personales. Conserve marcas de tiempo, identificadores de prueba y una descripción del estado observado en lugar de copiar mensajes de producción completos en los rastreadores de incidencias.
Cierre la prueba
Elimine las cuentas de aplicación sintéticas cuando sea apropiado, invalide los enlaces de prueba pendientes y aplique la política de retención acordada a los artefactos del buzón. Registre cualquier falla de entrega no resuelta por separado de una falla de autorización: no recibir un mensaje no establece que un límite de control de cuenta sea seguro.
Para incidentes de producción que involucren a clientes reales, utilice el proceso aprobado por la organización para el manejo de evidencia en lugar de un buzón desechable público.