パスワードの代わりにランダムなURLを使用しても大丈夫ですか？[閉まっている]

このようなランダムな文字から構成されるURLを使用することは「安全」と見なされますか？

http://example.com/EU3uc654/Photos

少数のユーザーグループのみがアクセスできるように、いくつかのファイル/画像ギャラリーをWebサーバーに配置したいと思います。私の主な懸念は、ファイルが検索エンジンや私のサイトを突っ込んでいる好奇心power盛なパワーユーザーに拾われないことです。

http://user:pass@url/一部のブラウザ/電子メールクライアントではリンクをクリックしてもうまく機能しないことに注意するために、.htaccessファイルを設定しました。

「OK」であるかどうかは、画像の感度に依存します。

SSLを使用していない場合、URL、HTML、および画像自体はユーザーのコンピューターにキャッシュされます。これはリークする可能性がありますが、私はそれはありそうにないと思います。

ブラウザツールバー、特にAlexaやNetcraftなどのクローラーを実行している企業が作成したものは、訪問したURLを親サイトに報告し、ボットが後でクロールできるように準備できます。

HTTP認証やPOST変数などの適切な認証は、この方法でキャッシュ可能にしたり、親Webサイトに報告したりしないでください。

別の手法は、一意で短命のURLを使用することです。そうすれば、たとえ漏れがあったとしても、それは大した問題ではありません。もちろん、新しいURLの正当なユーザーを更新し続ける必要があります。

いいえ、実際にはありません。これは、セキュリティによるセキュリティである、あいまいさによるセキュリティです。何らかの形で実際の保護なしにインターネットから直接アクセスできるものはすべて検出され、インデックスが作成され、キャッシュされます。

それらは途中ですべてのプロキシに記録されます。誰かが実際にリンクを公開しない限り、好奇心power盛なパワーユーザーや検索エンジンから安全です。

もちろん、ジェネレーターのランダム性に注意してください。

ここでは、非常に高いセキュリティを求めていないのではないでしょうか。

暗号URLは、使い捨てのダウンロードには便利ですが、実際の保護は提供しません。すべてのボットがrobots.txtファイルを尊重するわけではないことに注意する必要があります。そのため、サイト内のどこかにリンクがあり、偽装フォルダーにつながる場合があります。ますいくつかの検索エンジンでインデックス化され、その開始後は何も起こってバックはありません。

提案するものの代わりに、またはそれに加えて、シンプルな.htaccessベースの認証システムを使用することをお勧めします。

この例のような難読化されたURLについて、恐らくもっと恐ろしい視点を追加したいと思います。URLが誤って共有されていなくても、次の方法で検索エンジンに送信される場合があります。

• 訪問者のISP。HTTP訪問は収集され、データマイニングされ、ISPによって第三者に完全に販売されることさえあります。
• 訪問者のクラウドストレージ。ブックマークと履歴を保存する多くのサービスがあり、ブラウザのインス​​トール間で無料で同期できます。Mozillaのようにデータを事前暗号化しない限り、同じデータマイニングプラクティスが暗示される可能性があります。

YMMV。

以前は、ユーザーがドキュメント管理システムで共有スペースを作成できるようにするために、同様の方法を使用していました。共有コンテンツは最高機密ではなかったため、システムは非常に安全である必要はありませんでした。

各ユーザーのURLに有効期限のタイムスタンプとメールのMD5を含めるようにしました。

そのため、URLは次のようになりました。

http://my-url.com/1343689677-cba1f2d695a5ca39ee6f343297a761a4/

上記の場合、ユーザーが7月30日より前にメールuser@gmail.comを入力した場合、彼らは大丈夫でしょう。

軍事レベルのセキュリティではありませんが、仕事をしました。

これは、URLにsessionIDを保存するのと同じ脆弱性を共有します。パスワードのようにアスタリスクが付いていないため、誰かが誤って他の人にリンクをコピーして貼り付けたり、スクリーンショットで検閲を忘れたり、誰かに調べさせたりすることができます。

また、一部のコンテンツがパスワードで保護されている場合、ログインすることで、それが秘密であることがわかります。リンクを取得した場合、簡単に忘れることができます。

もう1つのことは、ユーザー特権の削除です。ユーザーを削除すると、ログインできなくなりますが、リンクを使用すると、それらすべてを変更し、（削除されたユーザーを除く）全員に新しいURLを送信する必要があります。

これらが単なる画像であれば、悪くないと思います。しかし、これらがあなたが本当に、本当に共有したくないいくつかの画像である場合;）そして、私はあなたが提示したデイブのような、より長いランダムな単語を使用することをお勧めします。

編集：？DO_NOT_SHARE_THIS_LINKをURLに追加します。 http

これは、たとえば、Kongregateが他の場所でホストされているゲームを埋め込むときに行います（認証資格情報をフレームのURLに配置します）。ところで、Kongregateは、公開されていないゲームのゲストアクセスリンクも、ユーザーが使用したい方法で使用します。