Una persona no puede entrar y solicita ayuda. El equipo quiere resolver rápido, pero una excepción improvisada puede entregar acceso a quien solo conoce algunos datos de la cuenta. La recuperación es otro camino para demostrar identidad y debe tratarse con cuidado. También necesita ser comprensible para usuarios legítimos que perdieron un dispositivo o cambiaron de correo. El diseño debe separar situaciones, ofrecer instrucciones claras y evitar que soporte pida contraseñas. Un proceso documentado permite ayudar sin depender de decisiones individuales tomadas bajo presión durante una conversación.
Separa contraseña olvidada de otros problemas
No todos los fallos de acceso se resuelven restableciendo una contraseña. Puede existir una cuenta desactivada, un segundo factor perdido o un correo al que la persona ya no tiene acceso. Diseña rutas distintas y explica cómo reconocerlas sin revelar información innecesaria sobre cuentas ajenas. OWASP recomienda respuestas consistentes en recuperación para reducir exposición de existencia de usuarios. La experiencia debe orientar sin confirmar más de lo necesario. Un mensaje claro puede indicar que se enviarán instrucciones si la información corresponde, junto con una vía de ayuda adecuada para casos que no se resuelven por ese canal.
Limita el mecanismo y conserva control sobre sesiones
Los enlaces o códigos de recuperación deben tener uso y duración definidos según la implementación. El equipo técnico debe seguir mecanismos probados y la documentación pertinente, en lugar de inventar preguntas basadas en información fácil de conocer. Pregunta qué ocurre después del cambio: si se revisan sesiones existentes, si se informa al titular y cómo se trata una solicitud repetida. No envíes contraseñas nuevas por correo ni pidas que el cliente revele la actual a soporte. La recuperación debe permitir establecer una credencial mediante el flujo autorizado, sin intermediarios que necesiten conocerla.
Define excepciones que soporte sí puede gestionar
Escribe qué información puede solicitarse y qué decisiones requieren una revisión adicional. Evita basar verificación en datos públicos o detalles visibles en redes sociales. Si el servicio pertenece a una organización, puede existir un administrador autorizado para ayudar a sus miembros; documenta su alcance. Los agentes de soporte necesitan una respuesta útil cuando no pueden completar una recuperación inmediatamente. No conviertas la presión o la urgencia en una razón para saltarse controles. Ofrece una explicación del siguiente paso y conserva continuidad del caso para que la persona no tenga que repetir la historia ante cada contacto.
Prueba caducidad, repetición y mensajes
Con cuentas ficticias, revisa enlaces vencidos, enlaces ya utilizados y solicitudes sucesivas. Comprueba que los mensajes sean claros y que no expongan datos de otra cuenta. Incluye navegación por teclado y dispositivos móviles: una recuperación segura pero imposible de completar puede empujar al equipo a crear atajos informales. Revisa también el correo recibido y sus enlaces para que sean reconocibles. Mantén documentación de las pruebas y de los límites del proceso. La meta es ofrecer una ruta legítima de regreso sin crear un camino más débil que el acceso normal que intenta proteger.
DE LA LECTURA A LA ACCIÓN
Para aplicar hoy
- Distingue contraseña olvidada, pérdida de factor y cambios de contacto.
- No pidas contraseñas ni improvises verificación con datos públicos.
- Prueba enlaces limitados y ofrece continuidad clara para excepciones legítimas.
Fuentes y referencias
Documentación para profundizar. Los ejemplos de esta guía son didácticos.