Esta pregunta surgió hoy mientras discutía con un colega sobre la página 'crear cuenta' para el sitio web en el que estamos trabajando.
La opinión de mi colega es que debemos hacer el registro lo más rápido y sin problemas posible, por lo tanto, solo debemos pedirle al usuario su correo electrónico y ocuparnos del resto.
Estoy de acuerdo con la intención, pero tengo algunas preocupaciones al respecto:
- Dado que generamos la contraseña, que tenemos la responsabilidad de asegurarse de que la contraseña es lo suficientemente fuerte
- En mi experiencia, cuando se enfrentan a una contraseña ininteligible, es probable que los usuarios la anoten en una publicación.
- Es muy probable que los usuarios que no escriban la contraseña la olviden. Lo que significa que tendrán que pedir una nueva contraseña regularmente, y eso no es divertido para nadie
Sin embargo, teniendo en cuenta la calidad general de las contraseñas creadas por los usuarios y el hecho de que demasiadas personas tienden a usar la misma contraseña para todo ('estremecimientos'), puedo ver cómo tendría sentido generar una contraseña segura para ellos.
Todavía me siento desgarrado por eso. Estamos trabajando en un sitio web comercial donde el usuario tiene la opción de guardar los datos de su tarjeta de crédito, por lo que obviamente es muy importante que utilicemos el enfoque más seguro.
Respuestas:
La ventaja del enfoque de correo electrónico es que se asegura de esta manera que el usuario proporcionó una cuenta de correo electrónico válida que él / ella controla.
Sin embargo, el canal de correo electrónico es notoriamente inseguro. Esto significa que la contraseña podría ser interceptada. Por lo tanto, este enfoque solo debe considerarse si la contraseña generada se usa solo una vez, al primer inicio de sesión, y si se garantiza que el usuario debe cambiarla.
El enfoque directo es más seguro, en el sentido de que una conexión tls / ssl a su sitio web es mucho más difícil de interceptar sin ser notada.
fuente