Verificado
La persona registrada aprobó exactamente esta solicitud en su dispositivo de confianza. Puedes actuar.
Casos de uso
Acciones sensibles
Cambiar una cuenta de cobro, añadir un administrador, emitir una clave de producción — aprueba el cambio exacto, no la categoría.
El problema
Estar conectado se trata como permiso para todo
La mayoría de las aplicaciones comprueban quién eres una vez, en la puerta, y luego permiten todo lo que el rol admita. Así, una sesión robada, un portátil prestado o un momento de confianza mal puesta conceden no solo lectura, sino el poder de cambiar quién controla la cuenta.
Qué cambia
Vuelve a preguntar, en el momento que importa
Los cambios de consecuencias graves exigen una aprobación nueva que nombre el valor antiguo y el nuevo. Aprobar «cambia la cuenta de cobro a X» no puede reutilizarse para ponerla en Y, porque la aprobación está atada a los valores que mostró.
Cómo funciona
Aprobar un cambio concreto
- Se pide un cambio sensible Datos de cobro, administradores, métodos de recuperación, secretos de API, destinos de webhook, eliminación.
- Se muestran juntos el valor antiguo y el nuevo Quien aprueba ve qué es ahora y en qué se convertiría.
- Se exige una comprobación fuerte y reciente Una sesión solo con contraseña no puede autorizar esto. Hace falta una verificación con passkey reciente.
- El cambio y su aprobación quedan registrados Solo se añaden registros, incluido quién aprobó y contra qué valores.
Resultados posibles
Cuatro respuestas, y una de ellas es el silencio
Una solicitud de verificación tiene más de dos finales. Tratar como aprobación cualquier cosa que no sea una aprobación explícita es exactamente como los sistemas de verificación fallan a las personas.
Rechazado
La persona registrada vio esta solicitud y la rechazó. Trátala como fraudulenta y denúnciala.
Caducado
La solicitud no se respondió a tiempo y ya no es válida. Empieza de nuevo si era legítima.
Sin respuesta y No verificado nunca se muestran como aprobación, y no se convierten en aprobación por esperar.
Límites honestos
Lo que esto no arregla
Esto protege el momento en que se hace un cambio. No protege frente a una persona autorizada que de verdad quiera causar daño, y no ayuda donde una aplicación nunca consulta a REAL AUTH. La cobertura vale exactamente lo que valga la lista de acciones que la aplicación integradora decida proteger.
Casos de uso relacionados
Autoridad en la organización
No «es un empleado real», sino «tiene esta persona esta autoridad, ahora, en esta organización».
Más información →Inicio de sesión seguro
Comprueba quién entra, desde qué dispositivo, en qué cuenta y con qué rol — antes de que exista la sesión.
Más información →Cripto y verificación de monedero
Demostrar la propiedad de un monedero no es demostrar que una persona quiso esta transacción. Confirma ambas c…
Más información →Pruébalo contra tu propia aplicación
Una sandbox gratuita, flujos reales y sin tarjeta.