Me conte como você testaria uma página de login.

Cubra quatro dimensões: funcional (credenciais válidas e inválidas, sensibilidade a maiúsculas, remoção de espaços), segurança (rate limiting, bloqueio de conta, mensagens de erro genéricas, tratamento de sessão, obrigatoriedade de TLS), usabilidade e acessibilidade (navegação por teclado, rótulos para leitor de tela, suporte a gerenciador de senhas) e comportamento entre plataformas. Depois teste os fluxos ao redor: recuperação de senha, lembrar de mim, sessões expiradas e logins simultâneos.

Eu organizaria em vez de só listar casos, então funcional, segurança, usabilidade e compatibilidade. No funcional: credenciais válidas, senha errada, usuário inexistente, campos vazios, sensibilidade a maiúsculas no email, remoção de espaços e se o campo de senha está de fato mascarado. Segurança é onde eu gastaria mais tempo. Eu checo se a mensagem de erro é idêntica exista a conta ou não, porque uma mensagem diferente para usuário inexistente é uma ferramenta gratuita de enumeração de contas. Depois rate limiting e comportamento de bloqueio, se o cookie de sessão vem com HttpOnly e Secure, se o identificador de sessão é rotacionado após o login para evitar fixation, se o logout invalida a sessão no servidor em vez de só limpar o cookie, e se o login funciona sobre HTTP puro. Acessibilidade em seguida: ordem de tabulação, rótulos que um leitor de tela anuncia, erros associados ao campo certo e se um gerenciador de senhas consegue preencher. Depois compatibilidade entre navegadores e no mobile. Por fim os fluxos adjacentes, porque é onde os bugs se escondem: expiração e reuso do token de recuperação, lembrar de mim entre reinicializações, e o que acontece quando a sessão expira no meio de uma ação.