¿El enlace para restablecer el correo electrónico de la contraseña de Microsoft lleva a una URL diferente?

Soy el Administrador de programas a cargo de la experiencia de restablecimiento de contraseña para los Servicios en línea de Microsoft y quería aclarar algunas de las cosas que está viendo. En primer lugar, gracias por sus comentarios; Siempre buscamos mejorar nuestro servicio, y comentarios como estos realmente nos ayudan a mejorar las cosas con el tiempo.

La entrada de DNS raíz para nuestro servicio es passwordreset.microsoftonline.com. Esta entrada de DNS se encuentra frente a un equilibrador de carga que dirige el tráfico a centros de datos específicos de la región que tienen diferentes registros de DNS, por lo tanto, el subdominio prs-scu (aparte, al realizar el restablecimiento de la contraseña, también utilizamos este equilibrador de carga para garantizar que su sesión está altamente disponible en caso de un problema específico del centro de datos).

Ahora, cuando enviamos el correo electrónico a su cuenta para restablecer su contraseña, enviamos ese correo electrónico a través de un servicio de correo electrónico compartido que es propiedad de un equipo diferente en Microsoft. Este es el mismo servicio de correo electrónico que utilizamos para enviar correos electrónicos de notificación y correos electrónicos informativos para Office 365 en general.

La razón por la que ve un enlace diferente en la parte href de la URL (por ejemplo, click.email.microsoftonline vs. passwordreset.microsoftonline) es porque el servicio que utilizamos para enviar nuestros correos electrónicos pone un redireccionamiento en cada URL saliente Prevenir los ataques de phishing. Elegimos incluir la versión de texto simple de la url en el cuerpo para abordar el caso en el que el cliente de correo electrónico de un usuario no maneja el HTML correctamente.

Si desea discutir esto más a fondo, o qué más podemos hacer para mejorar su experiencia en el futuro, no dude en contactarme en [email protected].

Si le preocupa la propiedad de un enlace, puede verificar el certificado que aparece en el enlace para ver a quién está registrado o puede consultar la información de Whois.

microsoftonline.com está registrado en Microsoft:

Registrant:
    Domain Administrator
    Microsoft Corporation
    One Microsoft Way
     Redmond WA 98052
    US
    [email protected] +1.4258828080 Fax: +1.4259367329

Domain Name: microsoftonline.com

    Registrar Name: Markmonitor.com
    Registrar Whois: whois.markmonitor.com
    Registrar Homepage: http://www.markmonitor.com

Administrative Contact:
    Domain Administrator
    Microsoft Corporation
    One Microsoft Way
     Redmond WA 98052
    US
    [email protected] +1.4258828080 Fax: +1.4259367329
Technical Contact, Zone Contact:
    MSN Hostmaster
    Microsoft Corporation
    One Microsoft Way
     Redmond WA 98052
    US
    Email Masking [email protected] +1.4258828080 Fax: +1.4259367329

Created on..............: 2002-07-09.
Expires on..............: 2014-07-09.
Record last updated on..: 2013-06-08.

Domain servers in listed order:

ns2.bdm.microsoftonline.com
ns1.bdm.microsoftonline.com 

El número de teléfono que aparece arriba es el número de teléfono de Microsoft PR @ enlace

Además, si visita https://prs-scu.passwordreset.microsoftonline.com/ y mira la información del certificado SSL, verá que está asociado con Microsoft, pero deben obtener un certificado EV para que sea más claro.

Parece que querían mostrar un enlace simple al usuario, pero el token de seguimiento o restablecimiento no se muestra. Cosas como estas deben evaluarse caso por caso.

Es un riesgo menor que el envío en frío de correos electrónicos pidiéndole que inicie sesión en sitios web aleatorios, como se sabe que hacen algunas compañías (Bank of America). Creo que, dado que se trata de un correo electrónico solicitado de Microsoft, generalmente se puede pensar que es seguro, especialmente porque si alguien hubiera comprometido su correo electrónico, simplemente podrían usar el enlace para restablecer la contraseña. Todavía es un poco extraño, pero no veo un gran riesgo de seguridad aquí.

Probablemente lo estén haciendo para mantener la apariencia de que el correo electrónico trata sobre el servicio por el que solicitó un restablecimiento de la contraseña aunque las cuentas de Live (o como se llamen actualmente) en realidad se administran de forma centralizada como propia Servicio. Esto tiene sentido desde el punto de vista de no querer capacitar a los usuarios para que inicien sesión con cualquier correo electrónico que les indique dónde ir, pero también es malo que el usuario un poco más atento se dará cuenta de que el enlace no coincide.

Actualización: dado que solo ha cambiado un subdominio, es probable que este sea un problema aún menor. Parece que están usando un rastreador de clics por correo electrónico que redirige a través de un url corto a la página real que indica el enlace. Esta es una práctica más o menos estándar para muchos correos electrónicos.