Чи є гарною практикою (з точки зору безпеки) надсилати клієнтові пароль, який він надав під час реєстрації електронною поштою?
Ні, це, безумовно, немає!
Чи часто ми змінюємо це для клієнтів?
Ні. На жаль, ми цього не робимо. Ми, мабуть, повинні, але це, як правило, один із найнижчих пунктів у списку турбот. За останні 5 років я згадую лише одного клієнта, який запитував про це. Це було після отримання вогняного електронного листа від замовника, який не надто задоволений тим, що їх пароль був надісланий їм електронною поштою, і який потім розпитував про безпеку, надавши сайту свою інформацію про КС, щоб зробити замовлення.
Я б дуже рекомендував вносити ці зміни в будь-який новий магазин. Варто небагато часу, і передбачувані «переваги», про які я згадую нижче, не варті ризику невпевнено передати пароль.
Чи є переваги включити пароль до нового електронного листа облікового запису?
Так, є (хоча ІМО вони не справді вигідні). Це, мабуть, залежить від демографічної ситуації деяких сайтів, і я, на жаль, не маю тут ніякої статистики, але люди втрачають паролі. Такі люди, як я, використовують унікальні паролі для всього і зберігають їх у брелках, але більшість людей цього не роблять, а записують їх на клейких нотатках, записують їх на комп’ютери або надсилають електронною поштою. Клієнт, який не може зробити замовлення, тому що не може увійти, це або втрачений замовлення / клієнт, або нещасний клієнт, якому КСВ повинен допомогти користуватися сайтом.
Я абсолютно не кажу, що це робить вартим ризик для безпеки! Це просто "причина", чому вони в електронних листах в першу чергу.
Важливою справою є простий факт, що люди все ще використовують один і той же пароль у багатьох місцях. Тож навіть якщо це не має значення, якщо один із клієнтських облікових записів на вашому конкретному веб-сайті порушено, пароль можна використовувати для компрометації облікових записів, які можуть мати більш чутливий характер. Справа не в тому, що сайт електронної комерції не містить PII, але він, як правило, не містить того самого рівня конфіденційної інформації, як, наприклад, банк.
Ризик для окремого магазину електронної комерції стає набагато грандіознішим (незалежно від перехресного полірування паролем), коли зберігається інформація про кредитні картки, що дозволяє легше переоформити замовлення та придбати їх. Це відкриває перед вами ризик потрапляння сторонніх користувачів до облікового запису, придбання на кредитній картці клієнтів та доставки замовлення в іншому місці.
Яка версія Magento використовується, в даному випадку не має великого значення. Усі версії, з якими я працював (включаючи EE 1.13), надсилають пароль облікового запису клієнта в чіткому тексті електронною поштою при первинному створенні облікового запису. Новіші версії не включають пароль у електронні листи для скидання пароля і замість цього вибирають посилання, що закінчується. Але якщо ви скинете пароль від адміністратора, така ж ситуація, він надсилається в чіткому тексті.
Запобігти розсилці пароля в електронних листах з реєстрацією облікового запису досить просто, і їх можна легко виконати у адміністратора Magento, виконавши кілька простих кроків:
Перейдіть до системи> Електронна пошта для транзакцій
Натисніть кнопку Додати новий шаблон
У спадному меню Шаблон виберіть "Новий рахунок"
Завантажте шаблон у форму, натиснувши кнопку Завантажити шаблон
Знайдіть у шаблоні наступний рядок коду та видаліть його:
<strong>Password</strong>: {{htmlescape var=$customer.password}}<p>
Відредагуйте копію в шаблоні, щоб краще відобразити характер електронної пошти. Частини шаблону за замовчуванням (напр .: "наступні значення") не матимуть сенсу без наявності пароля ...