Odzyskiwanie hasła bez wyłączania właściciela konta
Samo zamówienie wiadomości resetującej nie powinno zmieniać hasła, kończyć sesji ani potwierdzać atakującemu, że wskazany użytkownik istnieje.
Prośba o reset nie jest jeszcze zmianą hasła
Każdy może wpisać cudzy adres w formularzu „Nie pamiętasz hasła?”. Dlatego wysłanie prośby nie unieważnia dotychczasowego hasła i nie wyrzuca właściciela z aktywnej sesji. Komunikat publiczny nie zdradza również, czy konto o takim adresie istnieje.
Jednorazowy token z krótkim terminem ważności
Odnośnik resetujący działa przez ograniczony czas i może zostać użyty tylko raz. W bazie przechowywany jest skrót tokenu, a nie jego jawna wartość. Limity częstotliwości utrudniają masowe wysyłanie wiadomości lub zgadywanie procesu.
Użytkownik dowiaduje się o zmianie
Po ustawieniu nowego hasła właściciel otrzymuje powiadomienie. Może także zakończyć pozostałe aktywne sesje, jeżeli podejrzewa, że wcześniejsze dane dostępowe zostały ujawnione.
Changelog bezpieczeństwa: wdrożono jednorazowe tokeny resetu, ograniczenia wysyłki, neutralne komunikaty, powiadomienie o zmianie i zarządzanie aktywnymi sesjami.