Estoy formulando esta pregunta con Automatic y Jetpack, pero creo que se trata de algo que no entiendo personalmente que esté sucediendo en un contexto de WordPress, por lo que estoy publicando aquí. No se trata de Automático, sin embargo, este podría ser un caso general. Así que ten paciencia conmigo ...
Mi hipótesis es que Automatic / Jetpack tiene un sistema de autenticación extremadamente inseguro, por lo que espero que alguien aquí me diga lo que no entiendo, asumiendo que estoy equivocado.
Hay muchos complementos de autenticación / inicio de sesión para que muchos sitios utilicen los credenciales de autenticación de una red particular para iniciar sesión en otro. Por ejemplo, puede iniciar sesión en bitbucket.org con sus credenciales de google.com como esta:
Alhacerclicenelbotóndeiniciodesesión,unmodoloredirigeagoogle.com,dondeingresasucontraseña.Luego,Googleautorizasuiniciodesesiónenelsitiodelcliente,SINNUNCADARSUCONTRASEÑAALSITIODELCLIENTE.Enotraspalabras,cuandoiniciosesióndeestamanera,bitbucket.orgnotieneformadeobtenermicontraseñaamenosqueminavegadorolaredsehayanvistocomprometidosdealgunamanera.Muchossitiostienenesto,facebook,yahoo,AOLetc.
Contrasteconestatécnicadeiniciodesesiónquenotéensitioscomodigest.bps.org.ukjetpack.com
Comprendoquesondominiostotalmentecalificadosalojadosporsitiosautomáticos,oalmenosenlosqueseutilizaelproductojetpack.Yotampocouso,asíquenoestoyseguro...
Cuandointentohaceruncomentarioenjetpack.com,semesolicitamicontraseñadeWordPress.comDESDEELdominioJETPACK.COM.Noestoyredirigidoawordpress.comogravatar.com.Sinembargo,estoyconectadosilacontraseñaescorrecta.
MicomprensióndeestossistemasdeautenticaciónutilizadosesqueelcertificadoSSLesverde,eselmétodoporelcualelusuariopuedeconfirmarqueelsitioconelqueestántrabajandopuedeserconfiable,siempreycuandoeldominioestéconfirmado.Puedeiniciarsesiónenbitbucket.orgconsuscredencialesdegoogle.com,porquecuandoselesolicitan,elnavegadordice"google.com" en la parte superior, no en un sitio aleatorio. ¿Qué me impide configurar blogs todo el día en dominios aleatorios, solicitar credenciales de wordpress.com, verificarlos automáticamente y luego iniciar sesión en el usuario si los credenciales son buenos y luego robarlos? Por favor, explícame por qué esto no es un error de seguridad masivo?