Ficha 5.6 (S-1) — regresión

• Versión: nara-api 1f04025.
• Fecha: 2026-10-10 11:27 (Bogotá).
• Método: GET /api/auth/me con el token válido de prueba1.paciente (control) y 4 variantes alteradas: un carácter de la firma, el id de otra cuenta con la misma firma, el vencimiento extendido 10 años y la firma vacía.
• Resultado: el control da 200 (paciente) y las 4 variantes dan 401 «No autenticado.» (148–161 ms). Las banderas de la cookie siguen bien (HttpOnly; Secure; SameSite=Lax; Max-Age=43200).
• Estado: Pasa (sin regresión).
• Evidencia: s1-regresion.json, ../_prep/logins_por_rol.json.
• Limitaciones: regresión reducida (sin las variantes firmadas con el secreto de desarrollo).