Autentique antes de mostrar los datos de la cuenta.
El espacio de trabajo del navegador debe permanecer bloqueado hasta que el servidor verifique la respuesta de autenticación del escritorio. Un parámetro de URL, aplicación abierta o cambio de enfoque del navegador no es prueba de identidad.
Mantenga los permisos explícitos.
La sesión debe conceder únicamente el acceso solicitado. Las acciones sensibles requieren una confirmación separada, y las sesiones expiradas o revocadas ya no deben exponer los datos de la cuenta.
Mantenga los secretos de la billetera fuera de los formularios web.
Este sitio web nunca pide una frase de recuperación o clave privada. Utilice la versión de escritorio verificada para sus procedimientos de recuperación y gestión de llaves compatibles.