Para una tienda web, permitimos que los clientes realicen un pedido ya sea como usuario registrado o como invitado.
La comprobación de invitados en sí misma es una característica bastante común para las tiendas web. La tienda en línea en cuestión está vendiendo bienes físicos, por lo que los clientes aún deberán completar su nombre, correo electrónico e información de dirección. Como tal, una orden de invitado no es de ninguna manera una orden anónima.
El análisis del tráfico web ha demostrado que incluso si el cliente ha creado previamente una cuenta, es posible que, por varios motivos, no desee iniciar sesión cuando realiza una compra. En estos casos, el hecho de que hayan creado una cuenta en una fecha anterior, constituye un obstáculo para lo que desean lograr: realizar un pedido.
Debido a que nos gustaría minimizar las barreras (para optimizar la conversión), alguien sugirió que podríamos permitir a los clientes el pago con una dirección de correo electrónico, incluso si la dirección de correo electrónico se ha utilizado anteriormente para registrar una cuenta. Las cuentas registradas están vinculadas a una dirección de correo electrónico. Esta funcionalidad de registro ya proporciona un atacante con una superficie de ataque para la enumeración de direcciones de correo electrónico.
En otras palabras: incluso si una dirección de correo electrónico está vinculada a un cliente registrado, se debe permitir a un cliente que realice el pago como invitado, con dicha dirección de correo electrónico, sin iniciar sesión.
Los pedidos realizados de esta manera se tratarían de manera idéntica a cualquier otro pedido de invitados, lo que significa que no serán visibles en el historial de pedidos, etc., que está disponible para los usuarios que realizaron pedidos mientras estaban conectados.
Por lo tanto, mi pregunta es:
¿El escenario anterior abrirá alguna implicación de seguridad inesperada?