重置密码链接是个坏主意吗？答案

【问题标题】：Are reset password links a bad idea?重置密码链接是个坏主意吗？
【发布时间】：2010-11-30 20:18:50
【问题描述】：

我们有一个密码重置网络应用程序。应用程序将确认代码发送到备用电子邮件。我的经理认为，如果您必须输入代码，则包含指向该页面的链接不是一个好主意。

我明白他的论点。但是，帮助台已经被对流程感到困惑的用户所淹没。我假设这是因为我们的许多用户只使用一个选项卡/窗口浏览并离开我们的 Web 应用程序以检查他们的电子邮件以获取确认码。

我的问题：我们应该如何处理这个问题？我想减轻帮助台的负担，进而让我们的用户在这个过程中没有痛苦。有什么建议吗？

澄清

他认为，我们训练用户点击来自无法验证的发件人的链接（在这种情况下，这是一条带有“无回复”地址的自动消息），这对用户造成了伤害。这反过来又会使用户更容易受到网络钓鱼尝试的影响，而我们在组织中遇到了很多问题。

【问题讨论】：

【解决方案1】：

我认为发送链接是标准的做法。如果客户真的担心这个电子邮件帐户的完整性，他最好先解决这个问题。

基本上你不会因为不发送链接而获得额外的安全性，但你会获得很多安慰。像其他人一样做 - 把它放在那里（时间有限）。

【讨论】：

【解决方案2】：

最重要的事情是选择在电子邮件主题中使用唯一标识符并让客户回复该邮件。

然后，一个自动脚本会检查“password-forgotten@mycompany.de”以查找主题为“Re: Forgot your password?”的电子邮件。 [唯一身份]'。然后该脚本会将他们的新密码邮寄给他们。

由于大多数用户在点击“回复”时不会修改主题，也不会“撰写新邮件”并手动输入收件人地址，因此很有可能收到“密码忘记”的邮件主题中的那个 UNIQUEID。

Plus 服务台只会帮助那些实际修改电子邮件“主题”的人。 ;-)

不过，也有安全方面的考虑。也许您的经理可能会争辩说，任何人都可能发送伪造的“Forgor your password”邮件并将“Reply-To”标头设置为攻击者的地址。处理脚本必须拦截这些伪造尝试...

【讨论】：

【解决方案3】：

我看不出为什么不应该包含该链接，特别是如果代码类似于哈希，因为有人破解的可能性微乎其微。

但是，您可以为插入代码的页面添加额外保护，并将尝试次数限制为 3 次。为了获得更多保护，请将电子邮件地址也发送到该页面，并允许 3 次尝试每个电子邮件地址而不是 3 次尝试/IP，这很容易被绕过。

【讨论】：