La verifica della posta elettronica deve essere seguita da un accesso basato su password? Perché?

Certamente dovresti autenticare l'utente che fa clic sul link. Altrimenti, come dici tu, qualcuno potrebbe inavvertitamente confermare un indirizzo email. Tuttavia, di solito è possibile autenticare l'utente in modo trasparente, quindi non è necessario inserire la password.

Il modo in cui raggiungiamo questo è l'utilizzo di un cookie di sessione. Durante la procedura di registrazione, il nuovo utente riceve un cookie di sessione. Quando fanno clic sul link di conferma nell'e-mail, solitamente usano lo stesso browser, quindi il cookie di sessione verrà allegato. Il sito web può verificare l'identità dell'utente utilizzando quel cookie.

I think an alternative solution might be to ask new users to first specify just an email address, then confirm that with a hashed token, and then ask them to set a password. But I don't see very many online services that do it this way, either.

Questo è il modo più sicuro per proteggere gli attacchi enumerazione degli utenti . Se l'indirizzo e-mail è già registrato, l'utente ottiene un link per la reimpostazione della password, altrimenti ottengono un link per continuare la procedura di registrazione. Chiunque non abbia accesso a quell'indirizzo email non può determinare se esiste o meno un account con tale indirizzo email.

Il processo di registrazione richiede all'utente di impostare una password e questo protegge da qualcuno che sta configurando e utilizzando un account associato all'indirizzo email di qualcun altro a cui non hanno accesso.

Non è ampiamente utilizzato poiché richiede più tempo per essere implementato, richiede in primo luogo la consapevolezza del problema di enumerazione degli utenti e in alcuni sistemi l'enumerazione degli utenti è un rischio accettabile in quanto gli account sul servizio sono generalmente considerati pubblici (ad esempio, la webmail, poiché non è possibile inviare a qualcuno un messaggio senza conoscere il proprio ID utente effettivo e spesso è possibile verificare se esiste un account inviandoci un'email).

Un altro modo per farlo è il modo in cui descrivi. Chiedere all'utente di inserire la propria password quando segue il link di conferma dell'email. C'è una scorciatoia disponibile qui però - se l'utente conferma il collegamento dalla stessa sessione utilizzata per iscriversi, è possibile utilizzare questo al posto di una re-immissione della password. Tuttavia, fai molta attenzione in questo caso che ciò non porti a un attacco per la sessione . È necessario invalidare il token di sessione e generarne uno nuovo quando l'utente passa al primo passaggio del processo di registrazione. Ciò assicurerà che se la sessione è stata fissata, l'utente malintenzionato non può quindi utilizzare la sessione di accesso. Se vuoi che la sicurezza aggiuntiva di loro inserisca nuovamente la password, devi aggiornare il token di sessione al primo passaggio e dopo aver seguito il link di conferma.

Non vuoi autenticare il link occasionale dall'email:

• È già autenticato in virtù del fatto che chiunque abbia accesso alla casella di posta "possiede" l'intero account. Ecco come funziona la reimpostazione della password.
• Il punto su "qualcuno potrebbe inavvertitamente confermare un indirizzo email" è discutibile dal momento che il desiderio del collegamento one time nell'email è verificare che il proprietario della casella di posta sia il proprietario dell'account. Anche se mia madre fa clic sul collegamento mentre il mio laptop è aperto, sbloccato e connesso al mio gmail, va bene. Sta verificando che la casella di posta sia proprietaria dell'account.
• È una scarsa UX.

L'unico motivo per cui lo scenario Persona n. 1 / Persona n. 2 crea un problema è perché la Persona n. 1 potrebbe utilizzare l'account prima di verificare la proprietà della cassetta postale. Se hai impedito che la persona numero 1 non avrebbe mai ricevuto l'e-mail e quindi non riescono a fare tutte quelle "cose cattive".

Questa è una vecchia domanda, ma di recente ho affrontato lo stesso scenario e voglio condividere con il mio pensiero. Quello che ho fatto non è richiesto agli utenti di accedere e verificare direttamente la posta degli utenti. La risposta è la seguente:

• L'autore menziona un caso in cui un utente inserisce un indirizzo email sbagliato ma il proprietario dell'email lo accetta per qualche motivo. Dopo aver verificato l'e-mail, l'utente originale può fare molti tipi di cose cattive. Dal mio punto di vista, l'indirizzo email degli utenti non deve essere condiviso nella tua applicazione. Devi nascondere l'email degli utenti e non pubblicarla. In secondo luogo, l'e-mail viene solitamente utilizzata per reimpostare la password, verificare la transazione, ecc. Se l'utente digita intenzionalmente un indirizzo e-mail errato, non vedo alcun beneficio che può ottenere da questa azione.

• Molte applicazioni non consentono agli utenti di accedere senza verificare l'indirizzo email.

• Dal punto di vista UX, vorremmo fornire una funzione di clic con un solo pulsante. In altre parole, vogliamo ridurre i passaggi che gli utenti devono effettuare per verificare l'indirizzo email. Fare clic sul link su quell'email è probabilmente il modo più semplice per farlo.

• Esistono molti altri modi di verifica. L'email è solo una di queste. Altri sono messaggi SMS, autenticazione a due fattori, caricamento di documenti di identità ecc. Quindi l'e-mail non è il numero uno importante in un'applicazione.