Los UUID resuelven nombres y coordinación. No contienen identidad autenticada, caducidad, permisos ni firma. Tratar un identificador como capacidad convierte cada filtración, registro, referrer o URL copiada en una posible vía de acceso.

Parecer aleatorio no implica confidencialidad

UUIDv4 tiene un gran espacio aleatorio si se genera bien, pero su fin normal es identificar con baja colisión. UUIDv7 revela deliberadamente la creación en sus primeros 48 bits. Cualquiera puede aparecer en historial, analítica, registros, exportaciones, capturas, soporte o enlaces. Diseña el sistema para que conocer un identificador no conceda acceso al objeto.

Autoriza cada operación por separado

Tras analizar un UUID, el servidor aún debe autenticar, cargar el registro dentro del tenant o propietario correcto y autorizar la acción. Una forma válida no demuestra existencia ni pertenencia. Las respuestas de error tampoco deberían revelar existencia innecesariamente cuando esa diferencia facilite enumeración.

Usa credenciales y tokens específicos

Las contraseñas necesitan hash lento y recuperación controlada. Los tokens de sesión y API necesitan entropía, transporte seguro, duración, revocación y almacenamiento cuidadoso. Un enlace firmado autentica recurso, acción y caducidad. Un UUID puede formar parte de esos diseños, pero el texto UUID solo no aporta esas propiedades. UUIDLens genera únicamente identificadores.