顧客のメールからの自動ログイン

8

私が取り組んでいる拡張機能の自動ログイン機能を構築することを検討していました。この機能では、メールのリンクをクリックした顧客が自動的にアカウントにログインします。

これは、ログインして購入するために忘れたパスワードを押す必要がある高度な変更があるため、特に古い顧客に送信するときに特に役立ちます。

しかし、その一方で、あまり興奮していないいくつかの脆弱性が開かれます。顧客がメールを友人に転送し、友人がリンクをクリックした場合、顧客は友人としてもログインします。

これらのメールを転送しないように顧客を教育することはできますが、それは困難な戦いになる可能性があります。マーケティングメールを友人に転送すると、彼らがあなたのアカウントに不正にログインできるようになるという考えは、人々がすぐに慣れるものではありません。

考え？

更新：Quoraがコメント通知メールから自動ログインを行うことに気づきました。

email

— カレンジョーダン
ソース

11

顧客が最後に注文したとき、または訪問したときに使用したIPアドレスまたはユーザーエージェントを保存し、そのIPアドレスまたはユーザーエージェントでのみリンクを機能させる。
リンクが1回だけ機能するようにします。
「Jane Doeであることを確認するには、郵便番号を入力してください」のような簡単な中間認証が必要です。

— ColinM
ソース

これについてもう少し考えていました。もし誰かがこの種の機能を構築するインセンティブがあれば、それはおそらくFacebookかTwitterだろうと考えていました。しかし、彼らはこれをしませんか？

— kalenjordan 2013年

4.顧客がブラウザを変更しなかった可能性が高くなります-リンクに加えて、認証に使用するCookie値を保存します。

— クリストフ、フーマンで2013

1

ユーザーが電話を持っているか、ライブラリのサイトを使用している場合、ユーザーエージェントが変更される可能性が高くなります。IPについても同様です。実際、人々はデスクトップで何かをしてから、モバイルデバイスでフォローアップします。これに加えて、電子メールのマーケティングの遅延…そして、複数のデバイスまたはIPが機能している可能性がさらに高くなります。

— davidalger 2013

12

私はそのような機能はお勧めしません...

とにかく、この機能を構築する場合は、次の点を考慮してください。

http：//shop.tld/？autologintoken = AABBCCDDのようなトークンベースのログインを使用する
これが初めての場合、顧客がログインするときに、認証トークンを1回のログインに制限します。
トークンを顧客ごとに一意にします。また、（非常に重要）ユーザー名/パスワード/アドレス/名前/メール/何にも基づいていません。Mage_Core_Helper_Data :: getRandomStringが役立ちます。長さは32が最低だと思います。md5（time（））のようなものを使用しないでください！
顧客がパスワードを変更するたびにトークンを変更する
トークンを使用してログインした顧客のアカウントアクセスを制限します。たとえば、メールアドレスに変更したい場合やCC番号にアクセスしたい場合にパスワードを入力できるようにします。これは、セキュリティを改善するのに少し役立ちます
ブラウザ、Cookie、IPなどに依存しないでください。

— 両方
ソース

1

私はこれに単純な+1以上のものを与えることができればと思います。:)

— davidalger 2013

1

1.9より前のバージョンのMagentoでは、mt_srandに100万個の可能な値しかシードされないため、getRandomStringは非常に弱くなります（文字列の長さに関係なく、100万個の可能な結果のみ）。

— ColinM 2014