Email пароль при регистрации

Question

Ужасно ли отправлять пользователям по электронной почте пароль при регистрации - до того, как он будет хеширован кодом на стороне сервера и сохранен в БД?

Answer 1

Если он введен пользователем, да, это плохая идея. Электронная почта не зашифрована и может быть перехвачена при пересылке между вашим почтовым сервером и их, а также потенциально может быть прочитана людьми, имеющими доступ к двум серверам.

Если это одноразовый временный пароль, риск меньше, так как они должны изменить его вскоре после этого.

Answer 2

Часть ответа зависит от того, насколько надежными должны быть ваши учетные данные. Если вы банк или любой другой сайт, который имеет дело с PII, то это абсолютно ужасная идея. Но если вы не думаете, что взлом вашего сайта приносит реальную выгоду, вы можете использовать это по своему усмотрению. Это определенно не очень хорошая идея с точки зрения безопасности, но если есть организационные факторы, такие как бюджет или устаревший код, которые могут загнать вас в такой угол, то вы можете рассмотреть это.

Кроме того, я искренне согласен с другими людьми, которые ответили, предлагая не отправлять пользователю свой пароль, если он его выбрал. Это ненужная потенциальная дыра в безопасности!

Answer 3

Лучше нет, потому что, если пользователи указывают неправильный адрес электронной почты, другие люди могут войти в систему, используя свои данные.

Кроме того, вы можете сделать его более безопасным, не разрешив сбросить пароль, если вы не входилихотя бы один раз с паролем, который использовался для регистрации.

Answer 4

Я отправляю им временный пароль по электронной почте, а затем требую, чтобы они изменились при первом входе в систему. Конечно, кто-то может изменить это, прежде чем пользователь получит шанс.

Answer 5

Мое мнение таково.

Вариант 1 - если пользователь выбирает свой пароль, не отправляйте его по почте.

Вариант 2 -если вы генерируете пароль, отправляете пользователю, имеете ссылку на активную его учетную запись и меняете пароль.

Зависит от того, какие пользователи регистрируются, может использоваться каждая опция.