Was ich am häufigsten sehe, ist, die Authentifizierung zuzulassen und den Benutzer anzumelden, aber sinnvolle Funktionen zu sperren, bis die E-Mail verifiziert ist. Sie sollten einen Fehler anzeigen, der den Benutzer daran erinnert, eine Aktivierungs-E-Mail erneut zu senden, wenn er versucht, auf eine der eingeschränkten Funktionen zuzugreifen.

Es ist ein schlechtes Design, einen Benutzer jemals anzulügen. Wenn er den richtigen Benutzernamen und das richtige Passwort übermittelt, sollte niemals ein Fehler angezeigt werden, der behauptet, dass einer der beiden falsch ist.

Ich stimme Buffalo5ix zu, aber die E-Mail-Überprüfung sollte nicht als Teil der Kontosicherheit betrachtet werden. E-Mail-Überprüfung:

• beweist den Besitz der Adresse, nur um zu wissen, dass der Benutzer die richtige Adresse eingegeben hat, damit Sie Spam strike> Passwort-Wiederherstellungs-E-Mails senden können.
• dient als sehr leichte Abschreckung für die Registrierung mehrerer gefälschter Konten. Es ist ziemlich einfach, die Erstellung von E-Mail-Adressen zu automatisieren (mithilfe von tempmail / Hosting Ihres eigenen E-Mail-Servers) und automatisch auf die Validierungslinks zu klicken, sodass CAPTCHA ein besseres System zum Schutz vor der automatisierten Registrierung gefälschter Konten darstellt.

Ich kann keinen sicherheitsrelevanten Grund erkennen, warum Sie die nicht verifizierten Konten in irgendeiner Weise sperren sollten. [ERKLÄRUNG: Ich bin nicht der Meinung, dass Sie Nachrichten an nicht verifizierte E-Mail-Konten senden sollten. Dies wäre zumindest Spam und würde im schlimmsten Fall einer zufälligen Person die Möglichkeit geben, das Kontokennwort zurückzusetzen, wenn der Benutzer seine E-Mail-Adresse falsch eingegeben hat. Ich sage, dass die Kontoanmeldung nicht deaktiviert werden sollte, das Senden von E-Mails an eine nicht bestätigte Adresse sollte dies offensichtlich sein.]

Ich bevorzuge das kleine Banner Der obere Bildschirmrand erinnert mich daran, das Konto zu verifizieren, und fordert Sie auf, die Bestätigungs-E-Mail erneut zu senden. Es ist nicht höflich, Benutzer wie verdächtige Kriminelle zu behandeln oder sie direkt nach der Registrierung zu nerven.

Sie möchten nicht die Information verlieren, dass der Benutzername als Reaktion auf einen nicht authentifizierten Anmeldeversuch vorhanden ist. Auf diese Weise können Angreifer feststellen, welche der E-Mail-Adressen in ihrer Liste bei Ihrem Dienst vorhanden sind.

Wenn sich der Benutzer jedoch mit dem Kennwort anmeldet, das er bei der Registrierung angegeben hat, ist dies nicht die Situation, in der Sie sich befinden. Sie wissen (so viel wie nie zuvor mit Passwörtern), dass die Person, die sich anmeldet, dieselbe Person ist, die dieses Passwort registriert hat. Es schadet also nicht, ihnen mitzuteilen, dass ihr Benutzername existiert. Sie wissen das, seit sie es registriert haben!

Was Sie nicht wissen, ist, dass diese Person tatsächlich die E-Mail-Adresse kontrolliert, die Sie für sie haben. Dies hängt eigentlich nicht mit der Überprüfung der Identität der Person zusammen, die sich mit einem Kennwort anmeldet. Möglicherweise möchten Sie es als alternatives Mittel zum Nachweis ihrer Identität verwenden (damit sie sich von dem Verlust ihres Passworts erholen können). Wenn Sie ihre E-Mail-Adresse nicht überprüft haben, können Sie dies nicht sicher tun (da Sie nicht wissen, dass die registrierte Person diese E-Mail-Adresse kontrolliert), sodass die Kontrolle über ihr eigenes Konto nicht sicher eingerichtet ist. Dies bedeutet jedoch nicht, dass Sie mehr als normal Grund haben, daran zu zweifeln, dass das Kennwort bewiesen hat, wer sie waren, und sie als nicht authentifizierten Benutzer zu behandeln.

Wenn Sie entscheiden, dass es wichtig ist, Benutzern die Anmeldung nicht zu erlauben Wenn Sie die Identität der Person, mit der Sie kommunizieren, ermittelt haben, sollten Sie ihnen einfach mitteilen, dass das Problem vorliegt, und sie das Problem beheben lassen.

Ich möchte auf etwas hinweisen, das möglicherweise übersehen wird.

Sollte die Fehlermeldung "Ihr Benutzername oder Passwort ist falsch?" lauten, anstatt sie darüber zu informieren Ich habe angenommen, dass dies die sicherste Methode ist, um das Konto zu überprüfen. Wenn wir ihnen mitteilen, dass sie das Konto überprüfen müssen, teilen wir ihnen mit, dass ein Konto mit dieser Benutzer-ID vorhanden ist ...

Wenn sie ihre Authentifizierungsinformationen eingeben müssen, können Sie sie dennoch darüber informieren, dass sie ihr Konto überprüfen müssen, um Zugriff darauf zu erhalten ... solange Sie nur Senden Sie diese Nachricht, wenn die Authentifizierung korrekt ist. Auf diese Weise verlieren Sie keine Informationen, da sie ein gültiges Kennwort eingeben müssten, um zu dieser Nachricht über ein bestimmtes Konto zu gelangen. Zu diesem Zeitpunkt wären sie sonst ohnehin im Konto.

Wenn Sie haben wirklich das Gefühl, dass ein nicht verifiziertes Konto bis zur Verifizierung gesperrt werden sollte. Dies ist eine sehr gute Möglichkeit, damit umzugehen (geben Sie auch die Option, die Verifizierungs-E-Mail für diesen Bildschirm erneut zu senden, da bei Spam / etc Dinge verloren gehen).

Beachten Sie, dass sich möglicherweise jemand mit einer E-Mail-Adresse registriert hat, die ihm nicht gehört. Wenn Sie wissen, dass E-Mails erforderlich sind, sollten Sie entweder:

• Konten automatisch löschen, die nach X Tagen nicht überprüft wurden. Oder, besser, erstellen Sie niemals vollständige Konten und setzen Sie sie stattdessen in eine ausstehende Liste, bis die Überprüfung abgeschlossen ist (und lassen Sie mehrere Einträge derselben Adresse in diese Liste ein). Sie sollten diese automatische Löschung im E-Mail-Text und auch auf der Anmeldeseite vermerken.

• Wenn Sie Konten nicht automatisch löschen, sollten Sie eine Möglichkeit dafür angeben der legitime E-Mail-Eigentümer, um später ein eigenes Konto zu erstellen (an diesem Punkt sollten Sie das frühere Konto erneut ungültig machen / löschen).

Natürlich sollten Sie keines zulassen Zugriff auf alles, bis die E-Mail bestätigt wird. Und Sie sollten niemals weitere E-Mails (einschließlich Marketing usw.) an die Adresse senden, bis diese überprüft wurde.

Wenn E-Mail für den Dienst optional ist, geben Sie dies ausdrücklich an und ziehen Sie an Machen Sie E-Mails überhaupt nicht zu einem Pflichtfeld. In diesem Fall können Sie, wenn jemand eine E-Mail eingibt, diese jedoch nie überprüft, ohne E-Mail-bezogene Funktionen fortfahren. Stellen Sie jedoch erneut sicher, dass dieselbe E-Mail-Adresse später vom rechtmäßigen Eigentümer wiederverwendet werden kann.

Ich kann gar nicht genug betonen, wie unglaublich frustrierend es sein kann, wenn jemand anderes ein Konto mit Ihrer E-Mail-Adresse registriert, sodass Sie kein eigenes Konto für den Dienst registrieren können, da diese E-Mail-Adresse in der Datenbank eindeutig ist und "beansprucht" wurde. durch das andere Konto. Selbst wenn der E-Mail-Besitzer das Passwort des Kontos leicht zurücksetzen kann, hilft dies nicht, dass das Konto von einer anderen Person personalisiert wurde. Bringen Sie Benutzer nicht in diese Position.

Angenommen, Sie haben ein Anmeldeformular, das keine doppelten Benutzernamen zulässt, ist es trivial zu überprüfen, ob der Benutzername vorhanden ist.