Являются ли ссылки для сброса пароля плохой идеей?

Question

У нас есть веб-приложение для сброса пароля. Приложение отправляет код подтверждения на альтернативный адрес электронной почты. Мой менеджер считает, что не стоит добавлять ссылку на страницу, где вы должны ввести код.

Я вижу его аргумент. Тем не менее, служба поддержки была перегружена пользователями, которые запутались в процессе. Я предполагаю, что это потому, что многие наши пользователи просматривают, используя только одну вкладку / окно, и выходят из нашего веб-приложения, чтобы проверить свою электронную почту на наличие кода подтверждения.

Мой вопрос : Как мы должны подойти к этому вопросу? Я хотел бы облегчить работу службы поддержки и, в свою очередь, облегчить процесс для наших пользователей. Есть предложения?

Разъяснение

Он считает, что мы оказываем пользователю медвежью услугу, обучая его щелкать ссылки у отправителя, который невозможно проверить (в данном случае это автоматическое сообщение с адресом «без ответа»). Это, в свою очередь, сделает пользователей более восприимчивыми к попыткам фишинга, с которыми у нас было много проблем в нашей организации.

Answer 1

Я думаю, что отправка ссылок - это стандартный способ сделать это. Если клиент действительно беспокоится о целостности этой учетной записи электронной почты, ему лучше сначала разобраться с этим.

По сути, вы не получаете дополнительную безопасность, не отправляя ссылку, но вы получаете много комфорта. Просто сделай это, как и все остальные - вставь это туда (ограничено по времени).

Answer 2

Единственное, на что стоит обратить внимание, - это возможность иметь уникальный идентификатор в теме письма, чтобы клиенты ответили на это письмо.

Затем автоматический скрипт проверяет «password-forgotten@mycompany.de» на наличие писем с темой «Re: Забыли пароль? [УНИКАЛЬНЫЙ ИДЕНТИФИКАТОР]'. Затем скрипт отправит им новый пароль по почте.

Поскольку большинство пользователей не будут изменять тему при нажатии «Ответить» и не будут создавать «Создать новое письмо» и вводить адрес получателя вручную, велика вероятность того, что входящие письма на «забытый пароль» будут иметь этот УНИКАЛЬНЫЙ в теме.

Кроме того, служба поддержки может помочь только тем, кто на самом деле изменяет "Тема" письма. ; -)

Хотя есть соображения безопасности. Возможно, ваш менеджер может поспорить, что кто-то может отправить поддельное письмо «Forgor your password» и установить заголовок «Reply-To» на адрес злоумышленника. Сценарий обработки должен перехватывать эти попытки подделки ...

Answer 3

Я не вижу причин, по которым ссылка не должна быть включена, особенно если код представляет собой что-то вроде хэша, потому что вероятность взлома невелика.

Однако вы можете добавить дополнительную защиту на страницу, где вставляется код, и ограничить количество попыток примерно до 3. Например, для еще большей защиты отправьте адрес электронной почты на эту страницу и разрешите 3 попытки. на адрес электронной почты вместо 3 попыток / IP, которые можно легко обойти.