Ficha 5.10 · S-5: sexto intento con la clave correcta y fin del bloqueo

ID de prueba: 5.10 (S-5, caso T-02)
Fecha y hora: 2026-10-10 11:54:05 a 12:09:21 (UTC-5)
Ejecutado por: subagente ejecutor-pruebas-trl
Entorno: API directa https://nara-api-wyvw.onrender.com/api/auth/login. Commit de /api/health al inicio y al final de cada fase (bloqueo, sondeo, fin): 1f04025720e8a797c724c187554f8f4789aaaafa (sin cambio).
Datos usados: la cuenta del soak TRL-QA-20261010-clin (trl-qa-20261010.clinico@nara.com). La clave se leyó al ejecutar desde soak_prod.local y no se escribió en ningún archivo. Correo inexistente con prefijo: trl-qa-20261010-noexiste-s5@nara.com.
Procedimiento: script s5_login.js, fases bloqueo (5 claves incorrectas, la 6.ª correcta y 1 intento con el correo inexistente), sondeo (clave correcta a los 14 min 35 s del 5.º fallo) y fin (clave correcta a los 15 min 14 s).

#	Hora (UTC-5)	Intento	HTTP	Mensaje	ms
1	11:54:05.397	clave incorrecta	401	Correo o contraseña incorrectos.	397
2	11:54:05.796	clave incorrecta	401	Correo o contraseña incorrectos.	336
3	11:54:06.133	clave incorrecta	401	Correo o contraseña incorrectos.	391
4	11:54:06.524	clave incorrecta	401	Correo o contraseña incorrectos.	341
5	11:54:06.866	clave incorrecta	429	Demasiados intentos. Espere unos minutos e intente de nuevo.	564
6	11:54:07.431	clave correcta	429	Demasiados intentos. Espere unos minutos e intente de nuevo.	189
—	11:54:07.620	correo inexistente (1 intento)	401	Correo o contraseña incorrectos.	341
sondeo	12:08:41.533	clave correcta (14 min 35 s)	429	Demasiados intentos. Espere unos minutos e intente de nuevo.	454
fin	12:09:20.673	clave correcta (15 min 14 s)	200	— (`ok: true`, cookie de sesión presente; no se guardó)	493

Resultado: Pasa.
- El 6.º intento, con la clave correcta, no entra (429).
- El mensaje de una clave incorrecta es idéntico al de un correo inexistente («Correo o contraseña incorrectos.»), y los tiempos son parecidos (336-397 ms frente a 341 ms; muestra pequeña).
- El bloqueo sigue vigente a los 14 min 35 s y termina solo: a los 15 min 14 s del 5.º fallo, la clave correcta entra (200).
Métricas: duración del bloqueo observada entre 14 min 35 s (todavía bloqueada) y 15 min 14 s (ya libre); la definida es 15 min.
Evidencia adjunta: s5_bloqueo_1791651248117.json, s5_sondeo_1791652122147.json, s5_fin_1791652161515.json, s5_login.js.
Limitaciones declaradas: no se probó el bloqueo con 5 intentos sobre el correo inexistente (solo 1 intento, como pedía el contexto). Por eso no se verificó en ejecución que el 429 del correo inexistente sea idéntico, aunque el código cuenta igual a los dos. No se probó el límite por IP (no existe según el código). La comparación de tiempos tiene n = 1 para el correo inexistente. El 429 no trae Retry-After. La guía pide la evidencia en seguridad/s5-intentos-login.md; está en esta carpeta.