Forse il modo migliore di pensare a questo è, se un utente non autorizzato ha trovato un nome utente e una password e ha effettuato l'accesso, quanto sarebbe male? Se la tua affermazione è vera:
the only data stored on the user account is his email address.
quindi questo implica che una volta effettuato l'accesso, l'intero sito sia di sola lettura. In altre parole, l'autenticazione consente di accedere a determinati contenuti che altrimenti non sono disponibili al pubblico. Se quel contenuto diventasse pubblico, ti perderebbe il sonno? In caso contrario, probabilmente non è un grosso problema dal punto di vista della sicurezza del tuo sito per consentire password semplici, poiché non hai nulla da proteggere.
Detto questo, ecco alcuni motivi per cui non dovresti consentire password facili anche se soddisfa i criteri di cui sopra:
- Sopra ho specificamente enfatizzato la sicurezza "del tuo sito" perché il tuo sito potrebbe essere sicuro, ma vuoi anche proteggere i tuoi utenti. Se un utente malintenzionato è in grado di indovinare la password facile di un utente, ha probabilmente imparato qualcosa sull'utente. Forse la persona usa la stessa password su un altro sito Web o come password per il proprio telefono, ecc. Queste informazioni nelle mani di un utente malintenzionato potrebbero potenzialmente danneggiare l'utente. Nota che puoi aggirare questo problema creando password per loro invece di lasciargli scegliere il proprio.
- Se un utente malintenzionato non conosce alcun indirizzo email, avere una password semplice rende più facile indovinare una combinazione di email / password e quindi scoprire gli indirizzi email. (Questo è il motivo esatto per cui gli errori di accesso al sito web non dovrebbero dire "L'indirizzo email non è stato trovato", ma piuttosto "La combinazione email / password non è stata trovata" .Vuoi proteggere dagli aggressori che tentano di estrarre email.)
- Che cosa succede se in futuro deciderai di aggiungere funzionalità al sito web? Ad esempio, potresti voler consentire alle persone di postare commenti o "mi piace" qualcosa. Quindi memorizzerai dati specifici per una persona e avresti altro da proteggere, e potrebbe essere una seccatura cambiare il tuo sistema di password una volta che il sito è stato implementato e utilizzato da molte persone.
In sintesi, sono d'accordo con i crovers. Ti consigliamo anche di utilizzare password complesse o un metodo di autenticazione diverso.