Konuyu Açan
#1
Birçok projede giriş ekranına güvenlik ekleniyor ama şifre sıfırlama akışı daha az inceleniyor. Oysa sıfırlama bağlantısı, hesabın anahtarını taşıdığı için başlı başına hassas bir kimlik doğrulama yöntemi gibi ele alınmalı.
Özellikle bağlantıdaki token; sunucu günlüklarına, tarayıcı geçmişine veya sayfada çalışan üçüncü taraf analiz araçlarına istemeden ulaşabilir. Sayfaya harici kaynaklar yükleniyorsa yönlendiren bilgisi de ayrıca düşünülmeli. Sıfırlama sayfasında gereksiz üçüncü taraf içerikleri kullanmamak ve uygun Referrer-Policy ayarlamak riski azaltabilir.
Token tarafında birkaç temel önlem iş görüyor: token’ı veritabanında düz metin yerine özetiyle saklamak, kısa süre geçerli ve tek kullanımlık yapmak, başarılı sıfırlamadan sonra hemen geçersiz kılmak. Ayrıca kullanıcıya hesabın var olup olmadığını belli etmeyen yanıtlar ve istek sınırlaması, hesap keşfi ile otomatik denemeleri zorlaştırır.
Şifre değişince mevcut oturumları da sonlandırmak çoğu uygulama için iyi bir varsayılan; ancak kullanıcı deneyimi açısından bunu açıkça belirtmek gerekir. Siz sıfırlama akışında token sızıntısı veya eski oturumların açık kalması gibi bir sorunla karşılaştınız mı? Uyguladığınız önlemler neler?
Özellikle bağlantıdaki token; sunucu günlüklarına, tarayıcı geçmişine veya sayfada çalışan üçüncü taraf analiz araçlarına istemeden ulaşabilir. Sayfaya harici kaynaklar yükleniyorsa yönlendiren bilgisi de ayrıca düşünülmeli. Sıfırlama sayfasında gereksiz üçüncü taraf içerikleri kullanmamak ve uygun Referrer-Policy ayarlamak riski azaltabilir.
Token tarafında birkaç temel önlem iş görüyor: token’ı veritabanında düz metin yerine özetiyle saklamak, kısa süre geçerli ve tek kullanımlık yapmak, başarılı sıfırlamadan sonra hemen geçersiz kılmak. Ayrıca kullanıcıya hesabın var olup olmadığını belli etmeyen yanıtlar ve istek sınırlaması, hesap keşfi ile otomatik denemeleri zorlaştırır.
Şifre değişince mevcut oturumları da sonlandırmak çoğu uygulama için iyi bir varsayılan; ancak kullanıcı deneyimi açısından bunu açıkça belirtmek gerekir. Siz sıfırlama akışında token sızıntısı veya eski oturumların açık kalması gibi bir sorunla karşılaştınız mı? Uyguladığınız önlemler neler?