„Забравена парола“: как да приемете целия процес, а не само изпратения имейл

Разграничете смяна на забравена парола от възстановяване на MFA и от реакция при превзет акаунт. Това са различни задачи. Уточнете поддържаните механизми и кой отговаря, ако нормалният път не може да се изпълни.

Създайте разрешен тестов профил и контролирана тестова поща. Не изпращайте заявки към случайни адреси, за да видите дали са регистрирани. Уговорете ограничен брой действия и начин за приключване на теста, без промяна на истински клиентски данни.

OWASP препоръчва последователно съобщение и съпоставимо време за отговор за съществуващи и несъществуващи акаунти. Идеята е интерфейсът да не разкрива излишно кои профили са регистрирани. Техническата проверка на това поведение е работа на отговорния екип.

За редакционното приемане вижте дали текстът ясно обяснява какво да очаква човекът, без обещание за незабавно получаване. Полезното съобщение може да насочи към следващите стъпки, без да потвърждава чужда регистрация.

OWASP посочва еднократност и подходящ срок на валидност за използваните кодове или tokens, както и сигурно генериране и съхранение. Не избирайте произволна продължителност само защото друг сайт я използва. Определете поведението за конкретната система.

В тестовата среда проверете уговорените случаи: валидна връзка, вече използвана връзка и изтекла връзка. Не отгатвайте чужди кодове и не правете масови заявки. Запишете очаквания отказ и показаното обяснение за всеки случай.

След разрешен тест за задаване на нова парола проверете нормалния начин за вход и уговореното поведение на старите сесии. OWASP препоръчва уведомяване за промяната без изпращане на самата парола и разглежда прекратяването на съществуващи сесии.

Не показвайте паролата в отчет, запис на екрана или задача за разработчик. В протокола са нужни резултатът и отклонението. Ако тестът изисква истински потребител да въведе нова тайна, той трябва сам да извърши тази част по установения процес.

Когато писмото не се получава, отбележете времето и тестовия случай и проверете разрешените диагностични данни. Не заобикаляйте удостоверяването чрез ръчно предоставяне на акаунт на човек, чиято самоличност не е потвърдена.

Ако има съмнение за компрометиране, обикновена смяна на парола може да не е достатъчна. Не обявявайте възстановен контрол само защото формата е приключила. Нужен е отделен преглед според случая и механизмите на системата.

Посочете среда, разрешени тестови акаунти, случаи и резултати без тайните. Включете какво не е проверено и кой трябва да го довърши. Този ограничен тест не заменя пълна оценка на сигурността, но предотвратява приемане само по красив екран за потвърждение.

Тествайте с контролирани акаунти и предварително уговорен обхват.

Проверявайте успешния път и отказите при използвана или изтекла връзка.

Възстановяване на парола и реакция при компрометиране са различни процеси.