アカウントの作成中に、パスワードを自動的に生成してユーザーに送信するか、ユーザーが自分でパスワードを作成できるようにする方が良いでしょうか？

この質問は、私たちが取り組んでいるウェブサイトの「アカウントの作成」ページについて同僚と話し合っているときに今日出てきました。

私の同僚の意見では、登録をできるだけ迅速かつシームレスに行う必要があるため、ユーザーにメールを尋ねて残りを処理するだけです。

私はその意図に同意しますが、いくつかの懸念があります。

• 我々はパスワードを生成するので、我々は持っているパスワードが強い十分であることを確認する責任を
• 私の経験では、わかりにくいパスワードに直面したとき、ユーザーはそれを投稿に書き留める可能性が高い
• パスワードを書き留めていないユーザーは、パスワードを忘れる可能性が高いです。つまり、定期的に新しいパスワードを要求する必要があり、誰にとっても面白くない

ただし、ユーザーが作成したパスワードの一般的な品質と、多くの人がすべて（「震え」）に同じパスワードを使用する傾向があるという事実を考えると、強力なパスワードを生成することが理にかなっていることがわかります。

私はまだそれについて不安を感じています。ユーザーがクレジットカードの詳細を保存するオプションを持つ商人のウェブサイトに取り組んでいるので、最も安全なアプローチを使用することが明らかに非常に重要です。

電子メールアプローチの利点は、この方法により、ユーザーが自分が制御する有効な電子メールアカウントを提供したことを確認することです。

ただし、電子メールチャネルは安全ではないことで有名です。これは、パスワードが傍受される可能性があることを意味します。したがって、この方法は、生成されたパスワードが最初のログインで1回だけ使用され、ユーザーが変更する必要があることが確実な場合にのみ検討する必要があります。

Webサイトへのtls / ssl接続は、気付かれずに傍受するのがはるかに難しいという意味で、直接的なアプローチはより安全です。