Problema de seguridad con el correo electrónico de confirmación

La reinstalación no debería necesitar un código de verificación, si tienen su nombre y contraseña para iniciar sesión. Reinstale en un dispositivo nuevo, inicie sesión, allí está su cuenta.

El restablecimiento de la contraseña, por otro lado, implica que han perdido / olvidado la contraseña, pero aún saben su nombre de usuario. Si su nombre de usuario era su correo electrónico, sabrán con qué correo electrónico se han registrado.

Tengo que asumir que te dieron una dirección de correo electrónico cuando se registraron, pero no lo utilices para iniciar sesión, usan otro tipo de nombre de usuario.

Si no conocen la dirección de correo electrónico, y no conocen la contraseña, deben proporcionar alguna forma de prueba de propiedad / control sobre la cuenta.

No sabiendo lo que su aplicación hace específicamente, no puedo sugerir nada, aparte de ¿el soporte tendría acceso a algo que solo el propietario de la cuenta sabría (por ejemplo, el valor del último saldo bancario)?

Sí, eso es lo que se suponía que era la dirección de correo electrónico, pero ¿quizás podrías usar otra cosa para la verificación?

Durante el registro, puede enviar un correo electrónico al usuario con los detalles de su cuenta. Dígale al usuario que mantenga el correo electrónico "para su registro". En este correo electrónico, es posible que desee incluir palabras clave de búsqueda que probablemente no se encuentren en otros correos electrónicos suyos. Este correo electrónico no debe contener ninguna credencial confidencial (por ejemplo, contraseñas, tokens de una sola vez). Hoy en día, la mayoría de los proveedores de correo electrónico tienen un tamaño de buzón suficiente para que la mayoría de los usuarios nunca tengan que eliminar ningún correo electrónico.

Si un usuario olvida cuáles de sus cuentas de correo electrónico usaron para registrarse, puede pedirle que busque en sus buzones de correo electrónico su correo electrónico de registro.

En mi humilde opinión no hay nada malo aquí. Debe conservar la dirección de correo que se utilizó para el registro, ya que se usa para cada acceso. Sólo digo

  

enviamos un código de verificación a a***@gmail.com

incluso con la dirección de correo completa tampoco parece mal. Una dirección de correo electrónico es, de hecho, una información personal y bastante sensible, por lo que no debe dejarla en un lugar público, pero enviarla en un punto a punto, la comunicación al presunto propietario no es un error. Un atacante aún debe poder leer el correo, y el usuario (no usted) es responsable de protegerlo.

Simplemente debe tenerse en cuenta en las condiciones de uso que puede enviar ese correo electrónico si el usuario no lo puede recordar. IANAL, pero siempre prefiero advertir sobre un posible envío de información confidencial.