Posílání přihlašovacích údajů emailem

Pokud ti některý web pošle takhle zpět zapomenuté přístupové údaje, je to známka toho, že ukládá hesla v plaintextu a nešifruje je. Kdokoliv s přístupem k db je může číst. Pokud se k ní dostane někdo z venku, tak má přístup ke všem údajům. Navíc spousta lidí používá jedno heslo na všechno, což je o to horší. A pokud má nějaký web tak zásadní bezpečnostní slabinu, tak je dost možné, že jich bude i o dost více.

Hesla se jednoduše musí šifrovat tak, aby k jejich původní podobě neměl nikdo přístup (nepočítám brute force apod.)

Edit: Před pár dny se tu řešila registrace a i obnova hesla

Editoval David Kudera (10. 7. 2014 16:35)

Neposílat heslo. Vůbec. Nikdy. Pošleš jen odkaz s tokenem (náhodný string, který si spolu s platností uložíš třeba někam do databáze). Na příslušné stránce pak tento token ověříš a pokud je platný, necháš uživatele zadat nové heslo.

Já jsem to napsal trochu špatně. Samozřejmě, že vygeneruje nové heslo a to pošle. Ale to je pořád ten problém s tím, že jde heslo (i když nové) emailem. Z toho bcryptu, který Nette používá bych se hodně divil, kdyby někdo vytřískal heslo.