AI-loginflow testen met de checklist voor randgevallen

Vandaag koste het me drie kwartier om te snappen waarom mijn AI-gegenereerde loginflow na een wachtwoordreset het e-mailveld leeg liet. Het wachtwoord was veranderd, de sessie liep nog, en de frontend wist niet welke van de twee hij moest tonen. Dat is precies het soort randgeval dat je mist als je AI-loginflow testen alleen vanaf het happy pad bekijkt. Daarom gebruik ik nu een vaste checklist die verder kijkt dan inloggen en uitloggen.

Een loginflow is meer dan een veld voor e-mail en wachtwoord. Er zitten sessies aan vast, resetlinks, tokens, dubbele inzendingen en beveiligingscontroles die je niet wil vergeten. Bij AI-gegenereerde code ziet de standaard flow er meestal netjes uit. De foutpaden breken pas als iemand ongeduldig wordt, een oude link opent of twee keer op dezelfde knop klikt.

Heb je net een eerste versie klaar, loop dan eerst de basiscontroles uit AI-prototype testen door. Daarna loop je de punten hieronder.

AI-loginflow testen begint bij het happy pad

Start simpel. Maak een testaccount met een wachtwoord dat je zelf hebt gekozen, log in, log uit en log opnieuw in. Let op drie dingen: klopt de redirect, is de sessie echt beëindigd na uitloggen, en zie je je eigen naam of avatar terug waar je die verwacht. Automatiseer pas als je dit pad handmatig twee keer hebt doorlopen.

Een veelgemaakte fout is dat de flow prima werkt in een verse browser, maar raar doet met opgeslagen gegevens. Log daarom ook in met een wachtwoordmanager die de velden automatisch invult. Autofill zet soms het wachtwoord in het e-mailveld of triggert een dubbele submit.

Foutpaden die je bijna vergeet

De meeste problemen zitten niet in het inloggen zelf, maar in wat iemand net ervoor of erna doet. Check in elk geval deze gevallen:

• Leeg e-mailveld en leeg wachtwoordveld apart testen. AI voegt vaak dezelfde melding toe voor beide, terwijl je bij beveiligingscheck misschien geen verschil wil prijsgeven.
• Onbekend e-mailadres met een correct wachtwoord. Kijk of de foutmelding niet verklapt dat het account niet bestaat.
• E-mail met een spatie voor of achter, hoofdletters, en een plusadres. Een AI-flow behandelt die nog weleens anders.
• Wachtwoord met speciale tekens, een extreem lang wachtwoord, en een wachtwoordmanager die automatisch invult.
• Vijf of tien foute pogingen. Krijg je een lockout of oneindig veel kansen? En zit er vertraging op het versturen van resetmails?

Dit klinkt als een lange lijst. Toch zijn dit exact de gevallen die AI-code overslaat als je ze niet expliciet in de prompt zet. Handgeschreven code faalt er ook, maar dan merk je het vaak sneller omdat een collega het in een review ziet.

Sessies, tokens en de dubbele wegklik

Een loginflow stopt niet na het inlogscherm. Test wat er met de sessie gebeurt in deze situaties:

• Open de app in twee tabbladen, log in tab A in en kijk wat tab B doet. Soms toont tab B een verlopen login zonder duidelijke melding.
• Log in, klik op terug in de browser, en probeer daarna opnieuw een beveiligde pagina te openen. Een AI-flow laat je dan nog weleens binnen terwijl de interface zegt dat je bent uitgelogd.
• Wachtwoord resetten, daarna de oude bevestigingslink openen. Die link hoort niet meer te werken.
• Klik twee keer snel op de login- of resetknop. Kijk of je dubbele mails, dubbele sessies of een race condition krijgt die een token ongeldig maakt.
• Laat een refresh token verlopen en kijk of je actieve sessie op tijd wordt doorgezet of dat je onverwacht opnieuw moet inloggen.

Het patroon is steeds hetzelfde: AI-code volgt je instructie, maar alleen zover als jij die geeft. De randgevallen moet je dus zelf benoemen en daarna controleren.

Resetflow en beveiligingsmeldingen

Test de wachtwoordresetflow apart. Vraag een reset aan voor een adres dat wel bestaat en voor een adres dat niet bestaat. De melding hoort hetzelfde te zijn, anders kan iemand afleiden welke e-mailadressen een account hebben. Let daarna op open redirects. Als de resetlink een redirect-URL meekrijgt, zorg dan dat die alleen naar je eigen domein mag gaan. AI heeft de neiging om redirects klakkeloos uit de request te halen.

In AI-chatbot fouten: 5 dingen die misgaan in je instructies zie je hoe onduidelijke instructies voor verwarrende antwoorden zorgen. Bij een loginflow zorgen ze vooral voor meldingen die te veel informatie weggeven. Controleer dus niet alleen of de reset werkt, maar ook wat het systeem terugzegt tegen een buitenstaander.

Gebruik je two-factor of magic links, test dan ook het verlopen van die codes. Een magic link die na drie uur nog werkt is een lek. Dit is het eerste wat ik nakijk bij AI-gegenereerde loginflows.

Veelgestelde vragen

Hoe vaak moet ik een AI-loginflow testen?

Na elke grote promptwijziging. AI kan zomaar een eerder geteste validatie weggooien als je een ander onderdeel laat aanpassen. Test minimaal het happy pad en de resetflow opnieuw.

Moet ik foutpaden eerst met AI bespreken?

Ja, maar houd het klein. Zeg wat je niet wilt: niet verklappen of een e-mailadres bestaat, geen verschillende meldingen, en na tien foute pogingen tien minuten blokkeren. Daarna test je of de code zich daaraan houdt.

Wat als ik geen handmatige tester ben?

Gebruik browser devtools en een wachtwoordmanager. Vul rare waarden in, klik snel, open meerdere tabbladen. Voor de basisrandgevallen is dat genoeg.

Is AI-loginflow testen anders dan een handgeschreven loginflow testen?

De test zelf is niet anders. De kans op fouten zit alleen vaker in aannames. AI-code kan een resetlink zonder timeout genereren of validatie overslaan omdat je die niet noemde. Je checkt dus vooral of de instructies zijn gevolgd, niet alleen of de logica klopt.

Loop deze lijst een keer door voordat je live gaat. Je vangt er niet alles mee, maar wel de fouten waar je bij AI-gegenereerde code het vaakst tegenaan loopt.