Password nell'email di iscrizione. Cattiva pratica? Conforme PCI?


49

Usiamo Magento Enterprise (1.12) e molti clienti mi hanno già inviato un'e-mail lamentandomi di aver ricevuto la password via e-mail quando si sono registrati per un account. So che questa è considerata una cattiva pratica, ma arriva con Magento fuori dagli schemi.

Ho intenzione di cambiarlo e rimuoverlo dal modello di posta elettronica, che è abbastanza facile, ma ero solo curioso di sapere perché Magento lo fa se è stato a lungo considerato una cattiva pratica? So che ci sono poche informazioni sensibili memorizzate in un account utente e facciamo la convalida della carta di credito, ma "Magento Enterprise lo fa in questo modo, quindi deve essere ok". mi sembra una cattiva risposta da dare

Inoltre, molti sviluppatori Magento rendono questa soluzione una 'lista di cose da fare' frequente durante la creazione di un nuovo sito Magento, come rimuovere la convalida del telefono?


Quale versione di EE?
benmarks

@benmarks La versione di EE non ha molta importanza in questo caso, tutti inviano la password nelle e-mail di registrazione dell'account. :)
davidalger,

@davidalger vedi la mia risposta. Da EE 1.10 esistono due versioni del modello di reimpostazione della password.
Philwinkle,

1
@philwinkle Esatto, ma l'e-mail di reimpostazione non era quella richiesta dall'OP. Stavano chiedendo dell'email di iscrizione ...
davidalger,

@davidalger bene bontà. Merito tutti i tipi di downvotes :) Ti modificherò e ti voteremo perché in realtà hai bisogno di tempo per leggere.
Philwinkle,

Risposte:


32

È buona norma (dal punto di vista della sicurezza) inviare a un cliente la password fornita durante la registrazione via e-mail?

No, sicuramente no!

Cambiamo spesso questo per i clienti?

No. Purtroppo no. Probabilmente dovremmo, ma in genere è uno degli elementi più bassi nell'elenco delle preoccupazioni. Negli ultimi 5 anni, ricordo solo un singolo cliente che lo chiedeva. Fu dopo aver ricevuto un'e-mail infuocata da un cliente che non era molto contento della password che gli era stata inviata e che quindi metteva in dubbio la sicurezza di aver dato al sito le sue informazioni CC per effettuare un ordine.

Consiglio vivamente di apportare questa modifica per qualsiasi nuovo negozio. Vale la pena dedicare poco tempo e i presunti "vantaggi" che cito di seguito non valgono i rischi della trasmissione non sicura della password.

Ci sono dei vantaggi nell'includere la password nell'email del nuovo account?

Sì, ci sono (anche se IMO non sono veramente utili). Questo probabilmente dipende dall'andamento demografico del sito, e sfortunatamente non ho statistiche qui, ma le persone perdono le password. Persone come me usano password uniche per tutto e le archiviano in portachiavi, ma la maggior parte delle persone non le scrive, anzi le annotano su foglietti adesivi, le registrano su computer o le inviano per e-mail a se stesse. Un cliente che non può effettuare un ordine perché non può accedere è un ordine / cliente perso o un cliente infelice che un CSR deve aiutare a utilizzare il sito.

Non sto assolutamente dicendo che valga la pena rischiare la sicurezza! È solo una "ragione" di per sé perché sono in primo luogo nelle e-mail.

Una cosa importante che entra in gioco è il semplice fatto che le persone usano ancora la stessa password in molti luoghi diversi. Quindi, anche se non importa se un singolo account cliente sul tuo particolare sito Web è compromesso, la password può essere utilizzata per compromettere account che potrebbero essere di natura più sensibile. Non che un sito di e-commerce non contenga PII, ma in genere non contiene lo stesso livello di informazioni sensibili che una banca, ad esempio.


Il rischio per il singolo negozio di eCommerce diventa molto più grande (indipendentemente dall'impostazione incrociata della password) quando vengono archiviate le informazioni della carta di credito per facilitare il riordino e l'acquisto. Ti apre al rischio di avere utenti non autorizzati che entrano nell'account, acquistano su una carta di credito dei clienti e spediscono l'ordine altrove.

Quale versione di Magento viene utilizzata, in questo caso, non importa molto. Tutte le versioni con cui ho lavorato (incluso EE 1.13) inviano la password dell'account del cliente in chiaro tramite e-mail al momento della creazione dell'account iniziale. Le versioni più recenti non includono la password nelle e-mail di reimpostazione della password e optano invece per un collegamento in scadenza. Ma se reimposti la password dall'amministratore, stessa situazione, viene inviata in chiaro.


Prevenire l'invio della password nelle e-mail di registrazione dell'account è piuttosto semplice e può essere facilmente eseguito dall'amministratore di Magento seguendo alcuni semplici passaggi:

  1. Vai a Sistema> Email transazionali

  2. Fai clic sul pulsante Aggiungi nuovo modello

  3. Dal menu a discesa Modello, seleziona "Nuovo account"

  4. Caricare il modello nel modulo facendo clic sul pulsante Carica modello

  5. Trova la seguente riga di codice nel modello e rimuovilo:

    <strong>Password</strong>: {{htmlescape var=$customer.password}}<p>
  6. Modifica la copia nel modello per riflettere meglio la natura dell'email. Parti del modello predefinito (es: "seguenti valori") non avranno senso senza la password presente ...


Grazie per la risposta informativa. Questo è quello che pensavo, ma dal momento che è riuscito a sopravvivere attraverso molte versioni della piattaforma, ho pensato che avrei dovuto chiedere. Ci è voluto meno tempo per risolvere che per scrivere questa risposta, ma in primo luogo sembrava solo una cattiva pratica.
salirà il

1
Se si crea un nuovo modello di e-mail, potrebbe essere necessario per selezionare questo nuovo modello a:System > Configuration > Customers > Customer Configuration > Create New Account Options > Welcome Email
Willster

9

Da ~ 1.6.1-rc CE Magento viene fornito con due diversi modelli di reimpostazione della password . Uno ha la password in chiaro, l'altro un link di reimpostazione. Il nome file del modello di collegamento di ripristino è account_password_reset_confirmation.htmlmentre viene chiamato il file e-mail con password in testo normalepassword_new.html

Vai a:

System > Configuration > Customers > Customer Configuration > Password Options

Modificare il valore di "Modello e-mail dimenticato" in "Password dimenticata (modello predefinito da impostazioni internazionali).

modificare

Dopo aver riletto (e @davidalger essere un tale gentiluomo) potrei aver frainteso. Tuttavia, è molto semplice rimuovere anche il campo del promemoria password nella nuova e-mail di registrazione del cliente. Modifica la linea (~ linea 34):

<strong>Password</strong>: {{htmlescape var=$customer.password}}<p>

Nel file app/locale/en_US/template/email/account_new.html.

Oppure, basta votare e accettare la risposta di @ davidalger perché se lo merita!


1

Nota che in 1.9.x (e forse prima) c'è un altro template (oltre a

Nuovo modello di account) da modificare: la temp della chiave di conferma nuovo account

in ritardo invia anche la password in chiaro.


0

Nota che in 1.9.x (e forse prima) c'è un altro modello (oltre al New Accountmodello) da cambiare: il New Account Confirmation Keymodello invia anche la password in chiaro.

Utilizzando il nostro sito, riconosci di aver letto e compreso le nostre Informativa sui cookie e Informativa sulla privacy.
Licensed under cc by-sa 3.0 with attribution required.