Quel est le moyen le plus sûr de gérer les mots de passe oubliés / mot de passe? Devrais-je envoyer un email au mot de passe à l'utilisateur? Si oui, vous les forcez ensuite à le réinitialiser? Ou les laissez-vous le réinitialiser immédiatement (sans envoyer de courrier électronique) et nécessiter d'autres informations pour vérifier que c'est leur? Ou y a-t-il une meilleure méthode?
3 Réponses :
Je suppose que vous allez le faire par programme? Ou est-ce une question de faute du serveur?
L'une des manières est d'envoyer un lien vers le compte de messagerie de l'utilisateur. Il / elle clique sur le lien et est redirigé vers votre formulaire Web sécurisé où ils réinitialisent le mot de passe.
N'écrivez pas le mot de passe de l'utilisateur
Vous ne pouvez pas envoyer le mot de passe par courrier électronique à l'utilisateur, car vous ne le connaissez pas. Vous avez "haché" il par Si vous réinitialisez le mot de passe sans le confirmer avec le propriétaire du compte, un attaquant peut nier l'accès au propriétaire à son compte, au moins jusqu'à ce qu'il vérifie son email, en utilisant l'adresse électronique de la victime pour demander une réinitialisation.
Une méthode suffisamment sûre pour que de nombreuses applications consiste à envoyer un lien avec le propriétaire du compte, contenant un nombre important et généré aléatoirement. Ce jeton ne devrait être valable que pour un temps limité. Si le propriétaire souhaite réinitialiser leur mot de passe, ils cliquent sur le lien, ce qui les authentifie comme propriétaire du compte. Le propriétaire du compte peut alors spécifier un nouveau mot de passe.
Vous ne devriez pas envoyer de mots de passe par courrier électronique. Voici un processus étape par étape que j'ai utilisé:
jusqu'à ce que le nouveau mot de passe soit défini, l'ancien mot de passe doit rester actif. N'oubliez pas de hadry et de sel des mots de passe!
Il y avait une énorme discussion sur ce sujet très récemment: Stackoverflow.com/Questtions/2283937/...
Si votre système a la possibilité de rechercher le mot de passe d'un utilisateur et de lui envoyer un courriel, vous avez fait quelque chose de très faux. Vous ne devriez jamais être capable de rechercher le mot de passe d'un utilisateur. Vous ne devez être capable que de hash un mot de passe entrant et de comparer, ou de le changer et d'envoyer le nouveau mot de passe.