Tengo un formulario de registro bastante estándar. Una cosa que he decidido eliminar es el requisito de ingresar la contraseña dos veces, por razones de usabilidad.
Para mitigar el mayor riesgo de ingresar una contraseña incorrecta por error, ¿está bien enviar la contraseña en el correo electrónico de bienvenida al usuario? Esto sucedería en el código que maneja la respuesta del formulario. La contraseña se revisa (bcrypt) y se almacena, por lo que no se puede recuperar en el futuro.
Mi razonamiento es que un atacante que haya obtenido acceso a la cuenta de correo electrónico del usuario puede restablecer la contraseña de este servicio de todas formas utilizando las herramientas estándar de restablecimiento de contraseña, por lo que almacenar una copia en su bandeja de entrada no es más un riesgo de seguridad que tener restablecimiento basado en correo electrónico.
¿Hay algún error en mi forma de pensar?