Vogliamo impostare un flusso simile a questo:
- Creiamo l'account per un utente di alto valore dalla nostra sezione di amministrazione
- Ricevono in qualche modo un'email automatica contenente i dettagli di accesso per il nostro sito
- Seguono il link, confermano il loro account e visualizzano un modulo che chiede loro di reimpostare la password
- Questo sembra essere un po 'complicato: se si allontanano prima di impostare la propria password e tornare più tardi (avendo potenzialmente disconnessi / provenienti da un'altra macchina, ecc.), vogliamo che siano ancora in grado di accedere al proprio account senza dover richiedere una reimpostazione della password
Per quanto posso vedere, non esiste un modo sicuro per farlo, dal momento che richiederebbe almeno un token di accesso ripetuto per poterli inviare via email.
Quindi le mie domande sono:
1) Ho perso un modo per farlo in modo sicuro? (con scuse all'I3I, che ha risposto a una domanda simile che ho postato senza il quarto requisito qui )
2) Un approccio che abbiamo discusso è di inviare loro un token di accesso riutilizzabile con una data di scadenza, in modo che a) almeno non si rompa con un attacco arcobaleno eb) minimizziamo la finestra di vulnerabilità. So che questo non è l'ideale, ma (se c'è un modo significativo per rispondere a questa domanda) quanto è grande il rischio? È importante quanto è lungo il periodo di utilizzo? E c'è un modo per minimizzare il rischio oltre a ridurre il periodo di utilizzo (o anche il modo imperfetto-ma-migliore per ottenere lo stesso effetto desiderato)?
Se pertinente, stiamo utilizzando un back-end Rails / Devise.
Grazie in anticipo.