Anstatt den Anmeldecode beim Klicken auf den Link ungültig zu machen, haben Sie ein Skript auf der Seite, das ausgeführt wird, und fordern Sie Ihren Server auf, den Code ungültig zu machen. Dies ist nur wirksam, wenn der "Mail-Scanner" nur die Seite besucht und keine Skripte darauf ausführt.

Sie sollten den Code auch nach einer bestimmten Zeit ungültig machen (Ihre zweite Option), weil Wenn der Benutzer einen Browser mit deaktivierten Skripten ausführt, wird der Code durch diese Methode nicht ungültig. Das Zeitlimit dient in diesem Fall als Sicherung.

Wenn Sie feststellen, dass auf dem "Mail-Scanner" Ihrer Benutzer Skripte auf der Seite ausgeführt werden, funktioniert dies nicht . Stattdessen können Sie eine Benutzeraktion auf der verknüpften Seite benötigen, um den Anmeldevorgang abzuschließen. Ihre Benutzer würden auf den Link in der E-Mail klicken und zu einer einfachen Seite mit einer Anmeldeschaltfläche und möglicherweise einem Text wie Als <username>? weitergeleitet werden. Melden Sie sie nur an (und machen Sie den Anmeldecode ungültig), wenn sie auf die Schaltfläche klicken. Dies würde zwei Klicks von Ihren Benutzern anstelle von einem erfordern, aber ich denke nicht, dass dies zu unpraktisch ist.

Da der "Mail-Scanner" nur die Seite besucht und nicht klickt Mit der Schaltfläche wird der Code nicht verbraucht.

Je mehr ich darüber nachdenke, desto mehr möchte ich einen Klick benötigen. Es ist nicht darauf angewiesen, dass der Mailscanner keine Skripte ausführt, daher sollte er robuster sein. Sie können es sogar mit Steffen Ullrichs Cookie-Idee kombinieren. Wenn der Benutzer auf den Anmeldelink in der E-Mail klickt und das Cookie hat, wissen Sie, dass es sich nicht um den Mail-Scanner handelt, sodass Sie sich sofort anmelden können. Ein Klick und sie sind angemeldet. Wenn das Cookie NICHT vorhanden ist, kommt der Klick möglicherweise tatsächlich vom Mail-Scanner, sodass Sie eine Seite mit einer Anmeldeschaltfläche anzeigen. Wenn es sich tatsächlich nur um den Benutzer in einem anderen Browser handelt (oder um denselben Browser mit deaktivierten Cookies), klicken sie auf die Schaltfläche und melden sich an. In diesem Fall waren zwei Klicks erforderlich, dies ist jedoch nur eine geringfügige Unannehmlichkeit und nur dann erforderlich, wenn Der Cookie ist nicht vorhanden.

Siehe diese ähnliche Frage.

Es ist unklar, in welchem ​​Kontext das passwortlose Login verwendet wird. Wenn der Benutzer den Link zum Anmelden jedoch erst nach dem Besuch der Website sendet, können Sie ein Cookie an den Browser des Benutzers senden und dieses Cookie erwarten, wenn sich der Benutzer anmeldet.

Die meisten Benutzer werden wahrscheinlich das verwenden Dieselbe Browser, um sich anzumelden, nachdem Sie den Link per E-Mail erhalten haben. In diesem Fall können Sie die angeklickte URL an dem vom Browser gesendeten Cookie ausrichten. Da die Security Appliance keine Kenntnis von den Cookies der Endbenutzer hat, können Sie den Klick von dieser Appliance einfach ablehnen.

Falls der Benutzer einen anderen Browser zum Klicken auf den Link verwendet oder wenn der Benutzer die Cookies explizit gelöscht hat oder implizit (wie bei Verwendung einer neuen privaten Browsersitzung) können Sie weiterhin ein explizites Token in der E-Mail haben, das der Benutzer manuell eingeben kann, um mit der Authentifizierung fortzufahren.

Auf diese Weise werden fast alle Benutzer beim Klicken auf den Link transparent behandelt. Die verbleibenden Benutzer können manuell fortfahren, indem sie das Token eingeben, und alle automatischen Systeme werden weggelassen - selbst wenn sie das Javascript auf der Seite ausführen können .

Ich würde nicht mit der Unfähigkeit dieser Analysesysteme rechnen, ein Skript auszuführen. Ich bin mir ziemlich sicher, dass viele tatsächlich mit Skripten umgehen werden, da dies auch ein typischer Mechanismus ist, der in Phishing-Mails verwendet wird, um die Analyse zu erschweren. Stattdessen sollten Sie auf fehlende Systemkenntnisse (d. H. Kennen Sie das Cookie nicht) und fehlende Funktionen zählen.

Melden Sie sich nur auf POST-Anfrage an. Der Link in der E-Mail sollte nicht eine Anmeldung verursachen: Er sollte einfach auf eine Anmeldeseite verlinken. Der URL-Code kann aus der URL extrahiert und in ein ausgeblendetes Formularfeld eingefügt werden. Wenn das Formular gesendet wird, was der E-Mail-Scanner nicht tut, ist der Benutzer nur dann angemeldet.

Wenn Sie die Benutzerreibung verringern möchten, können Sie das Formular automatisch einmal von Javascript senden lassen Die Seite wird geladen.

Wenn der Link geöffnet ist, zeigen Sie nur eine Seite mit einer Schaltfläche an, aber machen Sie nichts mit dem Code. Erst wenn der Benutzer auf die Schaltfläche geklickt hat, wird der Code ungültig.

Vermeiden Sie Einweg-Token. Diese eignen sich nicht gut für Fehlertoleranz, z. Wenn ein Benutzer versucht, einen Link zu verwenden, und sein Gerät eine langsame Verbindung hat. Alles, was zum einmaligen Gebrauch verwendet wird, ist möglicherweise anfälliger für Denial-of-Service-Angriffe von Anwendungen.

1. Läuft das Token nach dem Senden innerhalb eines angemessenen Zeitraums ab, z. 15 Minuten.

2. Nachdem der Benutzer auf den Link geklickt hat, benötigen Sie einen zweiten Authentifizierungsfaktor. Dies könnte etwas sehr Einfaches sein, wie ihr Name. Dies verringert das Risiko, dass ein Tippfehler in der E-Mail des Benutzers einem Fremden mit einer ähnlichen Adresse vollen Zugriff auf sein Konto gewährt. Für zusätzliche Sicherheit könnte der zweite Faktor außerhalb des Bandes geliefert werden (z. B. per SMS), dies ist jedoch offensichtlich weniger bequem. Wenn Sie keinen zweiten Faktor finden können, können Sie eine CAPCTHA verwenden. Wenn dies für Personen zu anstrengend ist, verwenden Sie einfach eine Zielseite mit einer Schaltfläche und fordern Sie den Benutzer auf, darauf zu klicken, bevor Sie fortfahren.

3. Setzen Sie Sitzungsfixierung und CSRF-Schadensbegrenzung auf den Authentifizierungsseiten ein.

4. Lassen Sie alle Token im Flug ablaufen, sobald sich der Benutzer erfolgreich authentifiziert hat, jedoch nicht Vor. Dadurch wird verhindert, dass Bots und E-Mail-Clients den Code versehentlich verbrauchen.

5. Führen Sie ein Überwachungsprotokoll über die Verwendung von Token und analysieren Sie es regelmäßig auf verdächtige Muster.

Ich werde meine Kommentarfrage als mögliche Antwort hinzufügen.

Blockieren Sie den einmaligen Kunden USER-AGENT auf Ihrem Server? Koppeln Sie mit dem Kunden Statische IP .

Wenn diese ausreichend eindeutig sind, können Sie sie transparent machen.

Nicht Hardcode der einen Instanz, nehmen Sie an, dass es wieder vorkommen wird, und richten Sie eine Referenztabelle von USER-AGENT und IP ein, die blockiert werden sollen. Auf diese Weise können Sie die Tabelle bei Bedarf einfach ergänzen.