Hasła w e-mailu rejestracyjnym. Zła praktyka? Zgodny z PCI?

Korzystamy z Magento Enterprise (1.12) i miałem już kilku klientów wysyłających mi e-maile, którzy skarżyli się, że otrzymali swoje hasło pocztą e-mail, kiedy zakładali konto. Wiem, że jest to uważane za złą praktykę, ale wchodzi w skład Magento po wyjęciu z pudełka.

Zamierzam to zmienić i usunąć z szablonu e-maila, co jest dość łatwe, ale byłem po prostu ciekawy, dlaczego Magento to robi, jeśli od dawna uważane jest za złą praktykę? Wiem, że na koncie użytkownika przechowywanych jest niewiele poufnych informacji i sprawdzamy poprawność karty kredytowej, ale „Magento Enterprise robi to w ten sposób, więc musi być w porządku”. wydaje mi się, że udzielam złej odpowiedzi ...

Ponadto, czy wielu programistów Magento czyni tę częstą naprawę „listy rzeczy do zrobienia” podczas tworzenia nowej witryny Magento, na przykład usuwając sprawdzanie poprawności telefonu?

Czy dobrą praktyką (z punktu widzenia bezpieczeństwa) jest wysyłanie klientowi hasła podanego podczas rejestracji za pośrednictwem poczty elektronicznej?

Nie, zdecydowanie nie jest!

Czy często zmieniamy to dla klientów?

Nie. Niestety nie. Prawdopodobnie powinniśmy, ale zazwyczaj jest to jeden z najniższych elementów na liście zmartwień. W ciągu ostatnich 5 lat przypominam sobie tylko jednego klienta, który o to pyta. Było to po otrzymaniu ognistego e-maila od klienta, który nie był zbyt zadowolony z wysłania do niego swojego hasła i który następnie kwestionował bezpieczeństwo związane z przekazaniem stronie informacji o CC w celu złożenia zamówienia.

Gorąco polecam dokonanie tej zmiany w każdym nowym sklepie. Warto poświęcić trochę czasu, a rzekome „korzyści”, o których wspomniałem poniżej, nie są warte ryzyka niepewnego przesłania hasła.

Czy są korzyści z włączenia hasła do nowego adresu e-mail konta?

Tak, są (chociaż IMO nie są naprawdę korzystne). Prawdopodobnie zależy to od niektórych danych demograficznych strony i niestety nie mam tutaj żadnych statystyk, ale ludzie tracą hasła. Ludzie tacy jak ja używają unikalnych haseł do wszystkiego i przechowują je w pęku kluczy, ale większość ludzi nie, raczej zapisują je na karteczkach, przyklejają do komputerów lub wysyłają pocztą elektroniczną do siebie. Klient, który nie może złożyć zamówienia, ponieważ nie może się zalogować, to albo utracone zamówienie / klient, albo niezadowolony klient, któremu CSR musi pomóc w korzystaniu z witryny.

Absolutnie nie twierdzę, że to sprawia, że ​​warto ryzykować bezpieczeństwo! Jest to po prostu „powód”, dla którego są one wysyłane w wiadomościach e-mail.

Ważną rzeczą, która wchodzi w grę, jest prosty fakt, że ludzie nadal używają tego samego hasła w wielu różnych miejscach. Nawet jeśli nie ma znaczenia, czy jedno konto klienta w Twojej witrynie zostanie naruszone, hasło może zostać wykorzystane do naruszenia bezpieczeństwa kont, które mogą mieć bardziej wrażliwy charakter. Nie chodzi o to, że witryna eCommerce nie zawiera informacji umożliwiających identyfikację osób, ale zazwyczaj nie zawiera tego samego poziomu poufnych informacji, na przykład w banku.

Ryzyko dla pojedynczego sklepu eCommerce staje się znacznie większe (niezależnie od krzyżowania haseł), gdy przechowywane są informacje o karcie kredytowej, aby umożliwić łatwiejsze składanie zamówień i dokonywanie zakupów. Otwiera to na ryzyko włamania się na konto przez niezatrudnionych użytkowników, zakupu kartą kredytową klienta i wysłania zamówienia w inne miejsce.

Która wersja Magento jest używana w tym przypadku nie ma większego znaczenia. Wszystkie wersje, z którymi współpracowałem (w tym EE 1.13) wysyłają hasło do konta klienta w postaci zwykłego tekstu pocztą elektroniczną przy pierwszym utworzeniu konta. Nowsze wersje nie zawierają hasła w wiadomościach e-mail dotyczących resetowania hasła i zamiast tego wybierają link, który wygasa. Ale jeśli zresetujesz hasło od administratora, ta sama sytuacja zostanie wysłana w postaci czystego tekstu.

Zapobieganie wysyłaniu hasła w wiadomościach e-mail związanych z rejestracją konta jest dość proste i można je łatwo wykonać od administratora Magento, wykonując kilka prostych kroków:

1. Wybierz System> Transakcyjne wiadomości e-mail

2. Kliknij przycisk Dodaj nowy szablon

3. Z menu rozwijanego Szablon wybierz „Nowe konto”

4. Załaduj szablon do formularza, klikając przycisk Załaduj szablon

5. Znajdź następujący szablon kodu w szablonie i usuń go:

   <strong>Password</strong>: {{htmlescape var=$customer.password}}<p>

6. Edytuj kopię w szablonie, aby lepiej odzwierciedlała charakter wiadomości e-mail. Części domyślnego szablonu (np. „Następujące wartości”) nie będą miały sensu bez hasła ...

Ponieważ ~ 1.6.1-rc CE Magento jest dostarczane z dwoma różnymi szablonami resetowania hasła . Jeden ma zwykły tekst hasła, drugi link do resetowania. Nazwa pliku szablonu linku resetowania jest wykonywana account_password_reset_confirmation.htmlpodczas wywoływania pliku e-mail z hasłem w postaci zwykłego tekstupassword_new.html

Iść do:

System > Configuration > Customers > Customer Configuration > Password Options

Zmień wartość „Forgot Email Template” na „Forgot Password (domyślny szablon z ustawień regionalnych).

Edytować

Po ponownym przeczytaniu (a @davidalger jest taki łagodny) mogłem źle zinterpretować. Jednak bardzo łatwo jest również usunąć pole przypomnienia hasła w e-mailu dotyczącym rejestracji nowego klienta. Edytuj linię (~ linia 34):

<strong>Password</strong>: {{htmlescape var=$customer.password}}<p>

W pliku app/locale/en_US/template/email/account_new.html.

Lub po prostu głosuj i zaakceptuj odpowiedź @ davidalger, ponieważ na to zasługuje!

Zauważ, że w 1.9.x (i może wcześniej) jest jeszcze jeden szablon (oprócz

Nowy szablon konta) do zmiany: temp. Nowego klucza potwierdzenia konta

późno wysyła również hasło w postaci zwykłego tekstu.

Zauważ, że w 1.9.x (i może wcześniej) istnieje jeden inny szablon (oprócz New Accountszablonu) do zmiany: New Account Confirmation Keyszablon wysyła również hasło w postaci zwykłego tekstu.