El login exige un correo, no un nombre de cuenta

Con Battle.net se entra con el correo, pero el campo aceptaba cualquier cosa: el
<form> lleva `noValidate`, así que el navegador no comprobaba su propio
type="email", y el servidor solo miraba que no estuviera vacío. Entrar con «15#1»
llegaba hasta `authenticate` y devolvía «Correo o contraseña incorrectos», que
manda a buscar el fallo donde no está.

Se valida en el servidor (autoritativo) y en el cliente (aviso inmediato), con un
mensaje propio: «Introduce tu correo electrónico, no el nombre de la cuenta.».

`EMAIL_RE` es a propósito permisiva —solo exige una @ con algo a cada lado, sin
punto en el dominio ni restricción a Gmail—: el registro solo admite Gmail HOY,
pero de las 17 cuentas Battle.net que existen, 16 NO son de Gmail (INNA@INNA.CL,
y hasta Q@Q sin dominio). Validar de más al entrar las habría dejado fuera a
todas. Comprobado contra los 14 correos reales: 0 bloqueadas, y rechaza 15#1,
17#1 y demás nombres de cuenta.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

web-next/app/[locale]/log-in/LoginForm.tsx

@@ -3,8 +3,9 @@
 import { useState } from 'react'
 import { useTranslations, useLocale } from 'next-intl'
 import { Turnstile } from '@/components/Turnstile'
+import { EMAIL_RE } from '@/lib/bnet'
 
-const ERROR_KEYS = ['invalidCredentials', 'missingFields', 'invalidRequest', 'captchaFailed'] as const
+const ERROR_KEYS = ['invalidCredentials', 'missingFields', 'invalidRequest', 'captchaFailed', 'notAnEmail'] as const
 
 export function LoginForm() {
   const t = useTranslations('Login')
@@ -24,6 +25,13 @@ export function LoginForm() {
       setMessage({ ok: false, text: t('missingFields') })
       return
     }
+    // El <form> lleva noValidate, así que el navegador no comprueba el
+    // type="email": si no se mira aquí, se entra con «15#1» y el servidor
+    // responde «credenciales incorrectas», que despista.
+    if (!EMAIL_RE.test(email.trim())) {
+      setMessage({ ok: false, text: t('notAnEmail') })
+      return
+    }
     setBusy(true)
     setMessage(null)
     try {

web-next/app/api/auth/login/route.ts

@@ -2,6 +2,7 @@ import { authenticate, getGameAccounts } from '@/lib/auth'
 import { getSession } from '@/lib/session'
 import { setGameAccountSession } from '@/lib/account-session'
 import { verifyTurnstile } from '@/lib/turnstile'
+import { EMAIL_RE } from '@/lib/bnet'
 
 export async function POST(request: Request) {
   let email = ''
@@ -24,6 +25,10 @@ export async function POST(request: Request) {
   if (!email || !password) {
     return Response.json({ success: false, error: 'missingFields' })
   }
+  // Con Battle.net se entra con el CORREO, no con la cuenta de juego («15#1»).
+  if (!EMAIL_RE.test(email)) {
+    return Response.json({ success: false, error: 'notAnEmail' })
+  }
 
   const account = await authenticate(email, password)
   if (!account) {

web-next/lib/bnet.ts

@@ -165,6 +165,19 @@ export function gameAccountDisplayName(username: string): string {
  */
 export const GMAIL_RE = /^[a-zA-Z0-9._%+-]+@gmail\.com$/i
 
+/**
+ * Forma de correo, para distinguirlo de un nombre de usuario. Con Battle.net se
+ * entra con el correo, pero la gente prueba con la cuenta de juego («15#1»), que
+ * no tiene @.
+ *
+ * A propósito NO exige punto en el dominio ni restringe a Gmail: el registro solo
+ * admite Gmail HOY, pero las cuentas ya creadas tienen correos de todo tipo
+ * (INNA@INNA.CL, e incluso Q@Q sin dominio), y validar de más al entrar las
+ * dejaría fuera. Solo hace falta separar «correo» de «usuario». Es el mismo
+ * criterio que aplica el navegador a un <input type="email">.
+ */
+export const EMAIL_RE = /^[^\s@]+@[^\s@]+$/
+
 /**
  * Cuentas de juego por cuenta Battle.net (WoW1…WoW8). Vive aquí, y no en la ruta
  * que la aplica, para que el correo de activación cite el límite REAL: el texto

web-next/messages/en.json

@@ -41,6 +41,7 @@
     "connecting": "Signing in…",
     "success": "Signed in successfully. Redirecting…",
     "invalidCredentials": "Incorrect email or password",
+    "notAnEmail": "Enter your email address, not the account name.",
     "missingFields": "Please fill in all fields.",
     "invalidRequest": "Invalid request.",
     "genericError": "Something went wrong. Please try again later.",

web-next/messages/es.json

@@ -41,6 +41,7 @@
     "connecting": "Conectando…",
     "success": "Conexión exitosa. Redirigiendo…",
     "invalidCredentials": "Correo o contraseña incorrectos",
+    "notAnEmail": "Introduce tu correo electrónico, no el nombre de la cuenta.",
     "missingFields": "Por favor rellene todos los campos.",
     "invalidRequest": "Solicitud no válida.",
     "genericError": "Algo ha salido mal. Inténtalo más tarde.",