TOTP (vectori RFC 6238)
  ok   cod la t=59
  ok   cod la t=1111111109
  ok   cod la t=20000000000
  ok   verify acceptă codul corect
  ok   verify respinge cod greșit
  ok   anti-replay: același pas nu mai trece
  ok   base32 round-trip

Criptare și parole
  ok   decriptare corectă
  ok   alt scop nu decriptează
  ok   blob modificat respins
  ok   hash argon2id
  ok   parola corectă
  ok   parola greșită

Validare
  ok   nume rezervat respins
  ok   nume cu spațiu respins
  ok   parolă scurtă respinsă
  ok   parolă cu nume respinsă
  ok   parolă comună respinsă
  ok   parolă bună acceptată
  ok   proof: javascript: respins
  ok   proof: https acceptat
  ok   slug fără diacritice

Înregistrare și autentificare
  ok   înregistrare reușită
  ok   sesiune creată după înregistrare
  ok   membru nu are permisiuni
  ok   parola nu e salvată în clar
  ok   în DB e hash-ul tokenului, nu tokenul
  ok   duplicat (nume) respins
  ok   duplicat (email, altă literă mare) respins
  ok   capcana pentru boți respinge
  ok   fără acceptarea regulamentului respinge
  ok   logout șterge sesiunea
  ok   login cu parolă greșită -> mesaj generic
  ok   login cu utilizator inexistent -> același mesaj
  ok   login cu email (case-insensitive)

Blocarea contului
  ok   după 5 greșeli contul e blocat
  ok   blocat: și parola corectă e respinsă
  ok   blocarea e în jurnalul de audit

Limitare de rată
  ok   doar 3 din 6 cereri trec

2FA
  ok   2FA activat, 8 coduri de recuperare
  ok   secretul TOTP e criptat în DB
  ok   login fără cod cere 2FA
  ok   login cu cod greșit respins
  ok   login cu cod corect
  ok   același cod nu poate fi refolosit (replay)
  ok   cod de recuperare funcționează
  ok   cod de recuperare e de unică folosință

Sesiuni și CSRF
  ok   CSRF corect acceptat
  ok   CSRF greșit respins
  ok   fără CSRF respins
  ok   sesiune furată cu alt User-Agent e respinsă
  ok   ...și ștearsă din DB
  ok   sesiune inactivă >30 min expiră

Reconfirmare (step-up)
  ok   fără step-up e refuzat
  ok   step-up cu parolă greșită respins
  ok   după step-up trece

Ierarhie (RBAC)
  ok   fondator are toate permisiunile
  ok   nivel egal nu poate acționa
  ok   nivel mai mare poate
  ok   permisiune necunoscută e ignorată

Grad afișat din grupurile TS
  ok   admin+vip -> Administrator
  ok   doar vip -> VIP
  ok   fără grupuri mapate -> Membru

Jurnal de audit cu lanț de hash
  ok   lanț valid
  ok   modificare detectată
  ok   după restaurare lanțul e iar valid
  ok   rând șters din mijloc detectat

Semnarea comenzilor către bot
  ok   semnătură validă
  ok   parametri modificați -> semnătură invalidă
  ok   nivel de actor modificat -> semnătură invalidă
  ok   acțiune necunoscută refuzată

71 reușite, 0 eșuate