отправка имени пользователя и пароля по электронной почте после регистрации пользователя в веб-приложении

Никогда не отправляйте пароль или другую конфиденциальную информацию в открытом виде. В том числе по электронной почте. Вы также должны хранить как можно меньше этого в восстанавливаемом формате. Незашифрованное общение, особенно электронная почта, легко подделать, и вы не хотите, чтобы не те люди получали пароли.

Если возможно:

• Храните свои пароли в соленом хэше, чтобы исходный текст нельзя было восстановить и, следовательно, невозможно было взломать ничем, кроме атаки грубой силы. Если пользователь забыл свой пароль, заставьте его сбросить его и отправьте временный пароль (который им требуется изменить при входе в систему) или ссылку для подтверждения (которая, опять же, запрашивает новый пароль) по электронной почте.

• Никогда не отправляйте по электронной почте ничего конфиденциального; если пользователю нужна информация, заставьте его перейти на ваш сайт, чтобы получить ее. Вы ведь используете HTTPS?

Люди часто используют пароли на разных сайтах. Таким образом, вы должны предположить, что тот же пароль работает для онлайн-банкинга клиента, и вам никогда не следует отправлять его по электронной почте или предоставлять возможность (кем-то, притворяющимся) клиентом получить его.

Можно отправить им электронное письмо с подтверждением с их именем пользователя - это полезно.

Помните, что если вы отправите им их пароль по электронной почте, они, скорее всего, забудут об этом письме или просто удалите его. Так что вам в любом случае нужен другой механизм сброса пароля.

Лучший способ справиться со случаем «забытого пароля» - это попросить пользователя отправить ему ссылку по электронной почте; когда они щелкают ссылку, вы разрешаете им ввести новый пароль.

Что касается личной информации (адрес, доход и т. Д.): зачем кому-то это нужно по почте? Они это уже знают! Вы просто отправляете незашифрованные личные данные через Интернет без причины.

Мое практическое правило - если вы в порядке, записываете его на открытке и отправляете по почте, то это нормально для стандартной электронной почты. Я не думаю, что информация о доходах попадает в эту категорию для большинства людей.

Что касается паролей, если они изначально не могут их запомнить, они не смогут найти электронное письмо, которое вы отправили им с паролем, и это признание того, что они хранят его в открытом виде. Я бы избежал этого и дал бы им возможность перезагрузить - им это все равно понадобится.

Проблема, безусловно, заключается в отправке электронного письма с паролем. Если он не зашифрован должным образом, кто-то потенциально может перехватить пакеты из отправляемой электронной почты и восстановить пароль. Кроме того, у этого человека потенциально может быть взломанная учетная запись электронной почты. Если кто-то украдет пароль, это не имеет большого значения, тогда вам, возможно, не о чем беспокоиться, но в противном случае я бы НЕ отправлял незашифрованные пароли по электронной почте.

Изменить: чтобы ответить на ваш второй вопрос, я бы даже не отправил его по электронной почте. Вместо этого я бы отправил ссылку, чтобы они могли легко видеть свой профиль / информацию при входе в систему.

Я говорю людям думать об электронной почте как об открытке - ее может прочитать сотрудник любой компании, которая обрабатывает ее между отправителем и получателем.

Я согласен с верхним ответом и хочу добавить: каждый раз, когда я получаю электронное письмо с подтверждением регистрации, содержащее мой пароль, я удаляю это письмо и настоятельно рекомендую никогда больше не использовать эту веб-службу. Для меня это указывает на отсутствие сознания безопасности и конфиденциальности.

Когда вы отправляете какую-либо информацию по электронной почте, она небезопасна. Есть слишком много способов получить это. Для опытного хакера, стремящегося украсть вашу информацию, это будет детская игра.

Воздержитесь от отправки какой-либо личной информации, такой как пароли и сведения о доходах, по электронной почте, так как это может стать ОЧЕНЬ ЗАЩИТНЫМ для вас и вашей организации, если такая информация будет утечкой или украдена. Серьезно подумайте о безопасности. Достаточно одного инцидента, чтобы все кирпичи упали.

Что касается восстановления пароля, внимательно прочтите Рекомендации по использованию забытых паролей.

Суть в том, что приложение, соответствующее лучшим практикам, должно позволять пользователю сбрасывать свой собственный пароль. Следует использовать вопросы личной безопасности. Приложение не должно отправлять электронную почту, отображать пароли или устанавливать какие-либо временные пароли.

РЕДАКТИРОВАТЬ: обновленная ссылка ...

Большинство компаний просто не включают комбинацию имени пользователя и пароля из-за безопасности внешнего почтового клиента. Любое количество пользователей может подобрать или угадать пароль к учетной записи электронной почты других пользователей, что позволит хакеру просматривать электронную почту вашего сайта. Тогда хакер может нанести ущерб и вашему сайту.

Я бы сказал, что предоставление функции забытого пароля по-прежнему будет жизненно важно, поскольку не каждый будет гарантировать, что сохранит все электронные письма (или даже сможет найти их позже) ...

У меня есть три правила относительно паролей:

• Don’t store passwords in plain text in the database
  • Why should people trust you with that kind of information? You may only have good intentions, but big companies have failed before, so you're at risk too.
• Don’t use password reminders
  • Password reminders are not worth it. They are easy to guess from people in your entourage and you often forget them. There are better ways to reset a password.
• Always offer to send a new password by email
  • This is the most secure way of retrieving passwords. You should force the user to change the password once logged in with the new password.

Как упоминалось в комментариях, вы можете посмотреть на OpenID. Самый безопасный способ управлять паролями - удалить их.

Я создаю веб-приложение для отправки конфиденциальной информации по электронной почте. Это не идеальный интерфейс, но он действительно безопасен и отлично работает.

Есть плагин Outlook, API для подключения внешнего веб-сайта и веб-сайта.

Идея состоит в том, что сообщения, полученные в ваш почтовый ящик, не являются открытым текстом. Это электронное письмо в формате HTML со ссылкой. Вам нужно щелкнуть ссылку, чтобы получить доступ к содержанию электронного письма. Когда это доступ один раз, сообщение уничтожается.

Сообщение хранится в зашифрованной базе данных на нашей стороне. Вы можете настроить пароль, который знают только две части, чтобы открыть сообщение онлайн, или получить пароль (случайное число 6) по SMS.

Это очень просто реализовать по API.

Есть образец

// https://www.secure-exchanges.com/API.aspx

 List<string> files = new List<string>();
  files.Add(originalFilePath);
  string input = $"{body}";
  string inputSubject = $"Your {subject}";
  SendMessageAnswer answer = MessageHelper.EncryptMessage(new EncryptMessageArgs(GlobalSettings.bindingSecure, GlobalSettings.serial, GlobalSettings.ApiUser, GlobalSettings.ApiPassword, input, inputSubject + " - to open", recipient1, "", password, null, SecureExchangesSDK.SecureExchanges.SendMethodEnum.onlyEmail, false, true, true, "fr-CA", 1, 5)
  {
    FilesPath = files
  });
  if (answer == null || answer.Status != 200)
  {
    throw new Exception($"Impossible d'envoyé un message : {methodName}");
  }