L07 — Sesiones server-side vs JWT en Agenda Ops
~5 h · Semana 2
Objetivo
Decidir y documentar si Agenda Ops usa sesión en servidor, JWT firmado, o híbrido; consecuencias para XSS , logout y revocación.
Por qué importa
M13 pudo dejar la decisión abierta; M18 la cierra con ojos de seguridad.
Conceptos
- Revocación inmediata.
- HttpOnly cookie vs Authorization header.
- Refresh token (si aplica).
Pasos (hazlos en orden)
1. Lectura dirigida (60–90 min)
Lee la sección indicada en la ficha de la materia y subraya solo lo que vas a probar hoy en terminal o en projects/.
2. Carpeta de evidencia (15–20 min)
Crea o actualiza la carpeta del proyecto de la materia. Cada lección añade una sección en la bitácora semanal o un archivo dedicado; no disperses notas sueltas.
3. Laboratorio / trabajo documental (90–120 min)
Redacta projects/m18-appsec/adr-sesion-vs-jwt.md: contexto, decisión, alternativas rechazadas, impacto en móvil M20.
Prueba manual: login → copiar token/cookie → logout → reutilizar credencial vieja (debe fallar).
Anota resultado en la ADR .
4. Conexión con el plan (30–45 min)
Escribe un párrafo en la bitácora: cómo lo de hoy afecta al piloto Agenda Ops (M12 en adelante) o a la API que desplegarás en M17/M19. Si aún no tienes SRS , usa el escenario del producto del plan (citas, clientes, panel).
5. Commit atómico (15 min)
git add projects/
git status
git commit -m "docs(m18): l07 sesiones-server-side-vs-jwt-en-agenda-op"
Lectura de esta lección
| Fuente | Qué leer | Alternativa |
|---|---|---|
| M13 | adr/005-auth si existe | M10 L14 sesiones |
| Catálogo | Entrada M18 | Bibliografía · M18 |
Hecho cuando
- ADR con alternativas.
- Prueba logout/reuse documentada.
- Coherente con móvil futuro.