Czy dobrą praktyką (z punktu widzenia bezpieczeństwa) jest wysyłanie klientowi hasła podanego podczas rejestracji za pośrednictwem poczty elektronicznej?
Nie, zdecydowanie nie jest!
Czy często zmieniamy to dla klientów?
Nie. Niestety nie. Prawdopodobnie powinniśmy, ale zazwyczaj jest to jeden z najniższych elementów na liście zmartwień. W ciągu ostatnich 5 lat przypominam sobie tylko jednego klienta, który o to pyta. Było to po otrzymaniu ognistego e-maila od klienta, który nie był zbyt zadowolony z wysłania do niego swojego hasła i który następnie kwestionował bezpieczeństwo związane z przekazaniem stronie informacji o CC w celu złożenia zamówienia.
Gorąco polecam dokonanie tej zmiany w każdym nowym sklepie. Warto poświęcić trochę czasu, a rzekome „korzyści”, o których wspomniałem poniżej, nie są warte ryzyka niepewnego przesłania hasła.
Czy są korzyści z włączenia hasła do nowego adresu e-mail konta?
Tak, są (chociaż IMO nie są naprawdę korzystne). Prawdopodobnie zależy to od niektórych danych demograficznych strony i niestety nie mam tutaj żadnych statystyk, ale ludzie tracą hasła. Ludzie tacy jak ja używają unikalnych haseł do wszystkiego i przechowują je w pęku kluczy, ale większość ludzi nie, raczej zapisują je na karteczkach, przyklejają do komputerów lub wysyłają pocztą elektroniczną do siebie. Klient, który nie może złożyć zamówienia, ponieważ nie może się zalogować, to albo utracone zamówienie / klient, albo niezadowolony klient, któremu CSR musi pomóc w korzystaniu z witryny.
Absolutnie nie twierdzę, że to sprawia, że warto ryzykować bezpieczeństwo! Jest to po prostu „powód”, dla którego są one wysyłane w wiadomościach e-mail.
Ważną rzeczą, która wchodzi w grę, jest prosty fakt, że ludzie nadal używają tego samego hasła w wielu różnych miejscach. Nawet jeśli nie ma znaczenia, czy jedno konto klienta w Twojej witrynie zostanie naruszone, hasło może zostać wykorzystane do naruszenia bezpieczeństwa kont, które mogą mieć bardziej wrażliwy charakter. Nie chodzi o to, że witryna eCommerce nie zawiera informacji umożliwiających identyfikację osób, ale zazwyczaj nie zawiera tego samego poziomu poufnych informacji, na przykład w banku.
Ryzyko dla pojedynczego sklepu eCommerce staje się znacznie większe (niezależnie od krzyżowania haseł), gdy przechowywane są informacje o karcie kredytowej, aby umożliwić łatwiejsze składanie zamówień i dokonywanie zakupów. Otwiera to na ryzyko włamania się na konto przez niezatrudnionych użytkowników, zakupu kartą kredytową klienta i wysłania zamówienia w inne miejsce.
Która wersja Magento jest używana w tym przypadku nie ma większego znaczenia. Wszystkie wersje, z którymi współpracowałem (w tym EE 1.13) wysyłają hasło do konta klienta w postaci zwykłego tekstu pocztą elektroniczną przy pierwszym utworzeniu konta. Nowsze wersje nie zawierają hasła w wiadomościach e-mail dotyczących resetowania hasła i zamiast tego wybierają link, który wygasa. Ale jeśli zresetujesz hasło od administratora, ta sama sytuacja zostanie wysłana w postaci czystego tekstu.
Zapobieganie wysyłaniu hasła w wiadomościach e-mail związanych z rejestracją konta jest dość proste i można je łatwo wykonać od administratora Magento, wykonując kilka prostych kroków:
Wybierz System> Transakcyjne wiadomości e-mail
Kliknij przycisk Dodaj nowy szablon
Z menu rozwijanego Szablon wybierz „Nowe konto”
Załaduj szablon do formularza, klikając przycisk Załaduj szablon
Znajdź następujący szablon kodu w szablonie i usuń go:
<strong>Password</strong>: {{htmlescape var=$customer.password}}<p>
Edytuj kopię w szablonie, aby lepiej odzwierciedlała charakter wiadomości e-mail. Części domyślnego szablonu (np. „Następujące wartości”) nie będą miały sensu bez hasła ...