Un chat útil para comprar un dominio muestra los documentos adecuados a la persona adecuada. Una interfaz cuidada no sustituye la comprobación de quién puede leer mensajes y descargar adjuntos. DEFINE PRIMERO LA CONVERSACIÓN Relaciona cada diálogo con comprador, dominio o pedido y personal autorizado del vendedor. Una prueba propuesta: el comprador A abre su conversación; B intenta la misma dirección; un empleado sin permiso de mensajería comprueba el acceso; después se cierra el diálogo. Escribe antes los resultados esperados. Utiliza documentos ficticios, no identificaciones ni datos financieros reales. Asigna un responsable para investigar cada resultado inesperado. COMPRUEBA CADA OPERACIÓN OWASP recomienda autorizar en el servidor, en lugar de depender de botones ocultos. Comprueba la lectura del historial, el envío, la subida de archivos y la obtención de enlaces de descarga. Un ID de conversación en la URL no es un permiso. Repite después de cambios de rol y de caducar la sesión. Un diálogo cerrado puede seguir siendo legible, pero define si acepta mensajes nuevos. Prueba peticiones directas además de la interfaz. REDUCE LOS DATOS INTERCAMBIADOS Solicita solo lo necesario para ese paso de transferencia. Una consulta sobre el nombre del dominio puede ser un mensaje de texto. Las contraseñas del registrador y los códigos de acceso de un solo uso no deben formar parte del chat. Si un documento contiene detalles innecesarios, pide una copia reducida antes de subirlo, en vez de publicar el archivo completo mediante un enlace abierto. Explica brevemente qué necesitas y para qué. TRATA LOS ADJUNTOS COMO UN PROCESO Define formatos admitidos y límite de tamaño. Revisa el contenido real; el nombre no basta. Tras autorizar el acceso, entrega archivos mediante un mecanismo privado controlado, no mediante URL públicas permanentes. Asigna responsables de revisión, errores y conservación. Para ensayar, usa un PDF inocuo de una operación ficticia y una imagen sin información personal. Registra por separado subida, inspección y descarga. PRUEBA TAMBIÉN LA INTERFAZ Cambia rápidamente entre dos conversaciones: los mensajes anteriores no deben aparecer bajo el nuevo dominio. Comprueba el progreso de envío, un fallo de red y la actualización al volver a la pestaña. Un indicador de lectura necesita un evento definido. El intercambio seguro es un proceso entendible con límites comprobados, no un candado decorativo. Catálogo de dominios: https://domainevery.com/es/domains Fuentes primarias: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html https://cheatsheetseries.owasp.org/cheatsheets/File_Upload_Cheat_Sheet.html
