¿Qué tan seguro es proteger una página de administrador con una simple contraseña de cadena de consulta? [duplicar]

En una empresa de seguridad donde trabajaba, consideramos que los secretos (por ejemplo, números de tarjetas de crédito o contraseñas) en las URL son un riesgo. Pueden almacenarse en caché en proxies intermedios, almacenarse en archivos de registro (servidor, en proxies y en el historial del navegador), enviarse a terceros (piense en Google Chrome) y aparecer en la mayoría de las barras de direcciones. Todo esto le da a tales secretos una mayor exposición de la necesaria, incluso cuando se usa https.

Si tienes un entorno totalmente controlado, por ejemplo, Su página de administración personal que solo usted mismo visitará, podría no ser un gran riesgo. Sin embargo, es una mala práctica y no veo por qué te expones al riesgo adicional. Si no desea el estado del servidor, un JWT sería una opción, aunque eso también es mal usado con frecuencia (y con frecuencia). Es mejor y más fácil usar una sesión normal con una cookie de sesión.

Si es una cadena de consulta y supongo que se sirve en un canal no seguro, la URL se almacenará en caché en el historial del navegador, las memorias intermedias intermedias y se transferirá a través de los parámetros de referencia cuando navegue a otras URL. Puede ser aceptable si es solo para ver los comentarios antes de hacerlo público. Si es más importante, pondría mejores controles en su lugar.