Il problema è che nella pratica corrente l'e-mail non è un canale molto sicuro per inviare questo tipo di informazioni. Non c'è molto di un modo per aggirare questo, a corto di convincere la stragrande maggioranza dell'umanità a cambiare drasticamente le sue abitudini e-mail. Probabilmente non succederà mai, quindi dobbiamo conviverci nel modo migliore possibile.
Se un collegamento "autenticazione" scade dopo un breve periodo di tempo, il rischio di perdita è minimo. È molto improbabile che qualcuno entri nell'account e-mail tra il momento -mail viene inviato e l'ora in cui l'utente lo vede. Aiuta anche se, una volta cliccato il link, scade immediatamente, perché questo rende la finestra delle opportunità ancora più breve.
Per motivi di reimpostazione della password, questo è generalmente considerato "abbastanza buono". In questi casi, la finestra di opportunità per un utente malintenzionato è molto breve , perché l'utente ha dovuto attivare deliberatamente la creazione del collegamento e gli abbiamo detto di controllare la sua posta elettronica. Probabilmente, lo controllerà e farà clic sul link in pochi minuti. Questo è quello che vogliamo.
Ma più a lungo rimane attivo quel collegamento, maggiore è il rischio che qualcun altro veda prima il collegamento. Se lo usano, sei un problema, perché non hai modo di sapere che questo non è l'utente per il quale hai inteso il messaggio. Questo è il motivo per cui la sicurezza non è una buona idea usare un link di autenticazione a lungo termine.
C'è un altro motivo, più pragmatico: in che modo l'utente ricorda quale link utilizzare? Se l'utente deve memorizzare o digitare il proprio URL di autenticazione, è altrettanto difficile da usare come password , più l'utente dovrà digitarlo in luoghi in cui non sarà nascosto. Se facciamo affidamento sull'utente per creare un segnalibro del browser, non appena l'utente deve gestire più macchine (escludendo i meccanismi di sincronizzazione del browser, che presentano i propri problemi), il segnalibro viene perso. Se l'utente deve passare attraverso la sua e-mail ogni volta che vuole accedere, questa è un'altra finestra di dialogo utente / passaggio da passare, e anche se non è una di cui dobbiamo preoccuparci, non abbiamo ancora salvato l'utente tempo.