Cubre cuatro dimensiones: funcional (credenciales válidas e inválidas, distinción de mayúsculas, recorte de espacios), seguridad (limitación de intentos, bloqueo de cuenta, mensajes de error genéricos, gestión de sesión, uso obligatorio de TLS), usabilidad y accesibilidad (navegación con teclado, etiquetas para lectores de pantalla, soporte de gestores de contraseñas), y comportamiento entre plataformas. Después testea los flujos de alrededor: recuperar contraseña, recordar sesión, sesiones caducadas e inicios de sesión simultáneos.
Por qué lo preguntan los entrevistadores
Esta pregunta clásica mide amplitud y organización. Cualquiera sabe enumerar casos de contraseña válida e inválida; el entrevistador observa si estructuras la respuesta en categorías y si te acuerdas de la seguridad y de la accesibilidad, que son las dos que más se saltan. Mencionar que los mensajes de error no deben revelar si una cuenta existe demuestra un instinto de seguridad que buscan de forma específica.
Cómo estructurar tu respuesta
- Anuncia tus categorías antes de enumerar casos.
- Cubre rápido las rutas funcionales felices y desdichadas.
- Dedica tiempo de verdad a los comportamientos de seguridad.
- Añade cobertura de accesibilidad y de plataformas.
- Termina con los flujos adyacentes, como el reseteo y la caducidad de sesión.
Ejemplo de respuesta
Lo organizaría en vez de soltar una lista de casos, así que funcional, seguridad, usabilidad y compatibilidad. En lo funcional: credenciales válidas, contraseña incorrecta, usuario desconocido, campos vacíos, distinción de mayúsculas en el email, recorte de espacios, y si el campo de contraseña está de verdad enmascarado. La seguridad es donde más tiempo dedicaría. Compruebo que el mensaje de error es idéntico exista la cuenta o no, porque un mensaje distinto para usuario desconocido es una herramienta gratis de enumeración de cuentas. Luego la limitación de intentos y el comportamiento de bloqueo, si la cookie de sesión se marca HttpOnly y Secure, si el identificador de sesión rota tras el login para evitar la fijación, si cerrar sesión invalida la sesión en el servidor y no solo borra la cookie, y si el login funciona por HTTP plano. Después accesibilidad: orden de tabulación, etiquetas que anuncie un lector de pantalla, errores asociados a su campo, y si un gestor de contraseñas puede rellenarlo. Luego compatibilidad entre navegadores y en móvil. Y por último los flujos adyacentes, porque ahí se esconden los bugs: caducidad y reutilización del token de reseteo, el recordar sesión tras reiniciar, y qué pasa cuando una sesión caduca a mitad de una acción.
¿Tienes esta entrevista a la vuelta de la esquina? GhostPilot escucha tu llamada en vivo, detecta la pregunta en cuanto la hacen y pone una respuesta estructurada en tu pantalla en tiempo real. Pruébalo en tu próxima entrevista de práctica, o coge un Session Pass de $29, sin suscripción, para la de verdad.
Mira cómo funcionaPreguntas de seguimiento que puedes esperar
- ¿Cómo testearías que el bloqueo de cuenta no se pueda usar para bloquear a otras personas?
- ¿Qué comprobarías del propio correo de recuperación de contraseña?
- ¿Cómo testearías el login cuando el proveedor de identidad es un tercero?
Más preguntas para Ingeniero de QA
Tu entrevistador hará su propia versión de esta. Pega la descripción real del puesto en el Question Predictor gratuito y obtén las 20 preguntas que ese puesto tiene más probabilidades de hacerte, con lo que cada una busca en realidad.
Predecir mis preguntas