La autenticación es un conjunto de estados, no una única pantalla. Incluye alta, acceso, segundo factor, recuperación, cambio de identidad y cierre de sesión.
Construir el mapa
Enumera las transiciones posibles y qué prueba exige cada una. Incluye aplicaciones móviles, APIs, proveedores de identidad y flujos heredados.
Invariantes
Define propiedades que siempre deberían cumplirse: una recuperación debe invalidar pruebas anteriores, un cambio sensible debe exigir contexto suficiente y el cierre debe terminar el acceso previsto.
Evidencia de estado
Registra la identidad, el canal, los artefactos emitidos y el resultado. Prueba únicamente con cuentas y datos autorizados.