Las cookies no prueban intención

Reconocer una sesión y reconocer un flujo protegido son controles distintos.

Las cookies no expresan decisiones

En esta lección, el navegador se autentica mediante una cookie de sesión que adjunta automáticamente cuando las reglas aplicables lo permiten. La cookie ayuda a identificar la sesión. Su presencia no demuestra que la persona quisiera realizar un cambio concreto.

Un token CSRF es un valor impredecible que el servidor comprueba para proteger cambios de estado frente a solicitudes no deseadas entre sitios. Usa el diseño compatible de la plataforma, incluidas sus reglas de vinculación y validación. Mostrar un token no impone ningún control.

Revisión ficticia de una dirección

La cuenta de un club permite cambiar la dirección de entrega. La plataforma ofrece un mecanismo de tokens vinculados a la sesión.

• C1: El servidor reconoce la sesión y verifica que la cuenta pertenezca a esa persona.
• C2: El formulario contiene el token, pero su validación está desactivada en el gestor del cambio.
• C3: La cookie usa SameSite=Lax. La revisión lo llama «prueba de que la persona quiso el cambio».

Relacionar afirmaciones y controles

C1 respalda identidad y permiso sobre el recurso. C2 deja sin aplicar la protección del flujo. Exige la validación compatible antes de aceptar el cambio, conservando C1. Un token ausente o inválido no debe considerarse válido.

SameSite limita el envío según el contexto del navegador y aporta una capa adicional; no valida el token ni demuestra intención. Incluso un flujo protegido no acredita que alguien leyera o entendiera una confirmación. Los cambios de consecuencias importantes pueden necesitar una confirmación adicional claramente explicada.

Conclusión: Sesión y propiedad comprobadas; aplicación del flujo protegido pendiente.