Flujo de autenticación de usuario · Mapas mentales
Flujo de autenticación de usuario. Un mapa mental editable con ramas de colores, ideas secundarias y conexiones. Las líneas curvas muestran relaciones; las flechas aparecen cuando importa la dirección.
Un flujo de autenticación de usuario es el camino desde que alguien crea una cuenta hasta que se confía en cada petición posterior: se calcula el hash de las credenciales antes de guardarlas, se verifican al iniciar sesión y después un token de sesión ocupa el lugar de la contraseña.
Flujo de autenticación de usuario · Mapas mentales
El lienzo interactivo de MindMap de esta explicación: cada carril, cada fila y cada flecha de arriba forma parte de un diagrama real de QueryChart que puedes abrir y editar.
Cómo leer este mapa mental
- Empieza por el tema central y sigue una rama de color para explorar sus ideas.
- Las líneas curvas muestran relaciones; las flechas aparecen cuando importa la dirección.
Register
Esta rama reúne “User creates an account”, “The password is salted and hashed before it is ever stored — the service cannot recover the plaintext, and a leaked database does not leak credentials.”, “Hashed credential is stored in the database”, “Client sends email and password”.
Sign in
Esta rama reúne “User signs in with credentials”, “Client forwards them to the auth service”, “Hash matches the stored one?”.
Session
Esta rama reúne “Auth service creates a session”, “Client stores the session token”.
Protected requests
Esta rama reúne “The token proves the session without re-entering the password. Multi-factor authentication inserts a second check at sign-in when the risk profile demands it.”, “Access granted for the session”.
Failure path
Esta rama reúne “Sign-in denied”.
Conexiones entre ramas
A las contraseñas se les calcula el hash antes de guardarlas: la base de datos guarda un hash de un solo sentido con sal, nunca el texto plano.
El inicio de sesión compara hashes, así que ni el propio servicio de autenticación puede recuperar la contraseña guardada.
El token de sesión sustituye a la contraseña en las peticiones siguientes, y eso es lo que hace practicable la autenticación a escala.
Almacenar y verificar son responsabilidades separadas en carriles distintos, así que cada una se puede proteger por separado.
El flujo tiene la misma forma tanto si el token es una sesión de servidor como si es un JWT: la mecánica del token está en el diagrama de JWT.
Relaciones clave y conclusiones
- A las contraseñas se les calcula el hash antes de guardarlas: la base de datos guarda un hash de un solo sentido con sal, nunca el texto plano.
- El inicio de sesión compara hashes, así que ni el propio servicio de autenticación puede recuperar la contraseña guardada.
- El token de sesión sustituye a la contraseña en las peticiones siguientes, y eso es lo que hace practicable la autenticación a escala.
- Almacenar y verificar son responsabilidades separadas en carriles distintos, así que cada una se puede proteger por separado.
- El flujo tiene la misma forma tanto si el token es una sesión de servidor como si es un JWT: la mecánica del token está en el diagrama de JWT.
Cuándo usar este diagrama
- Enseñar a un equipo nuevo la forma segura de la autenticación antes de que diseñen su primer inicio de sesión.
- Revisar un flujo de autenticación en busca de los fallos clásicos: guardar texto plano, comparar texto plano, confiar en el cliente.
- Aterrizar una conversación sobre autenticación multifactor y sobre dónde se enchufa en el flujo.
Cómo funciona
Adapta el tema central
Cambia el nombre del tema para adaptarlo a tu proyecto o clase.
Desarrolla las ramas
Edita las ideas y añade ejemplos o notas.
Conecta ideas relacionadas
Dibuja conexiones entre ramas; usa flechas cuando la dirección importe.
Preguntas frecuentes
¿Cuál es la forma segura de guardar contraseñas?
Nunca guardes la contraseña en sí. Guarda un hash con sal (una función de un solo sentido aplicada a la contraseña más una sal aleatoria) y descarta el texto plano. Al iniciar sesión, calcula el hash de la contraseña entrante de la misma forma y compara los hashes. Si la base de datos se filtra, el atacante obtiene hashes que no puede invertir, que es exactamente la propiedad que existen para mostrar las cajas del hash del diagrama.
¿Qué diferencia hay entre el hash y el cifrado?
El cifrado es reversible: con la clave puedes recuperar el valor original. El hash es de un solo sentido: no hay clave ni camino de vuelta. Para las contraseñas quieres hash, porque nunca vuelves a necesitar el texto plano, solo poder verificarlo. Por eso el diagrama dice «calcula el hash» y no «cifra»; cifrar contraseñas es una confusión habitual y peligrosa.
¿Cómo sustituye un token de sesión a la contraseña?
Tras un inicio de sesión correcto, el servicio de autenticación crea una sesión y entrega al cliente un token (un valor aleatorio o un JWT firmado) que representa al usuario autenticado. Las peticiones protegidas llevan el token, y el servidor lo valida en lugar de volver a pedir la contraseña. Eso es lo que hace practicable la autenticación para peticiones repetidas, y por eso la caducidad del token es la verdadera frontera de seguridad.
¿Dónde encaja la autenticación multifactor en este flujo?
La MFA es una comprobación adicional en el inicio de sesión, después de verificar la contraseña y antes de crear la sesión: el usuario aporta un segundo factor (un código de un solo uso, una aplicación de autenticación, una llave de hardware). La columna de inicio de sesión del diagrama es donde se enchufa ese paso. La MFA no cambia la mecánica del hash ni de la sesión; sube el listón de esa única decisión, «¿Coincide el hash con el guardado?», añadiendo una segunda prueba.
Editar este mapa mental en QueryChart
Abre este mapa mental en un lienzo editable. Mueve ideas, añade ramas y dibuja conexiones.