Uma caixa de entrada de teste ajuda a equipe de segurança a observar um fluxo de registro ou recuperação. Deve ser tratada como parte do ambiente de teste, com um proprietário e um limite acordado, em vez de ser um destino irrestrito para segredos de produção.
Escreva o escopo antes de testar
- Identifique a aplicação e o ambiente que você está autorizado a testar.
- Use contas sintéticas e estabeleça um orçamento de solicitações com o proprietário do sistema.
- Escolha uma caixa de entrada cujos controles de acesso correspondam à sensibilidade das mensagens.
- Defina um tempo de limpeza e identifique quem pode ver as evidências.
Teste limites, não apenas a entrega bem‑sucedida
Para uma aplicação que você controla, verifique se um link de confirmação está vinculado à conta pretendida, não pode ser reutilizado após a conclusão e produz um resultado compreensível após a expiração. Verifique o comportamento quando uma segunda solicitação de confirmação é feita. Documente o comportamento esperado antes de decidir que uma diferença é uma vulnerabilidade.
Mantenha segredos fora dos relatórios
Uma captura de tela contendo uma URL de redefinição ativa pode conceder acesso tão efetivamente quanto o e‑mail original. Redija códigos, tokens, cookies e endereços pessoais. Retenha carimbos de tempo, identificadores de teste e uma descrição do estado observado em vez de copiar mensagens completas de produção para rastreadores de problemas.
Encerrar o teste
Remova as contas sintéticas da aplicação quando apropriado, invalide os links de teste pendentes e aplique a política de retenção acordada aos artefatos da caixa de correio. Registre qualquer falha de entrega não resolvida separadamente de uma falha de autorização: não receber uma mensagem não prova que um limite de controle de conta está seguro.
Para incidentes de produção envolvendo clientes reais, use o processo aprovado de manuseio de evidências da organização em vez de uma caixa de entrada descartável pública.