¿Qué tan segura es esta URL de token para subcontratistas sin cuentas?

Hay varios escenarios en los que tienes que pensar. Si está enviando la URL a través de HTTP, usted (y sus clientes) son vulnerables a man-in-the-middle ataque (el atacante tendrá acceso a la información que le envían los subcontratistas) e incluso si lo está enviando a través de SSL que protegerá su URL solo durante el tránsito, y si confía en los correos electrónicos para enviarla entonces SSL no lo protegerá de las inseguridades del correo electrónico que puede pasar por muchos servidores antes de llegar a su cliente; y antes de todo, es un método débil para hacerlo, ya que no es compatible con los mecanismos de autenticación más simples (como las sesiones).

Además, el hecho de que necesite enviar el subcontratista de URL cada vez que requiera su información, con su validez durante 24 horas, lo expondrá a más amenazas, ya que mejora la longitud de atacar a la superficie . Y si el URL almacena en la caché la URL y un subcontratista puede usarla más de una vez (no lo especificó a través de su pregunta), entonces incluso SSL no sirve para este caso en particular.

También hay que tener en cuenta otras consideraciones: ¿qué pasa con cualquier enrutamiento interno, el registro del servidor?

Para tu última pregunta:

  

¿Qué pasaría si en lugar de las 24 horas el enlace durara 1 mes?

Una vez más, si aumenta la validez temporal de la URL, al mismo tiempo mejora el ataque de superficie que el correo electrónico del subcontratista (o el sistema con el que recibe su URL) puede verse comprometido por el tiempo.

Aunque, esto suena como tarea, es posible que una persona técnica a veces no entienda algunas cosas.

Debe asegurarse de que la persona que ingresa la información sea la indicada. La manera estándar de verificar John Doe es que John Doe es tener su correo electrónico y enviar el enlace a su correo electrónico, o tener su teléfono (celular) y enviar un número aleatorio a través de SMS que deben ingresar cuando ingresan al enlace.

Esto no habla acerca de la implementación u otros temas como el spam. Tendrás que hacer una lluvia de ideas y pensar en ellos.

Esto es bastante seguro, suponiendo que hayas puesto en práctica una forma de lidiar con las colisiones y que alguien intente adivinar aleatoriamente otras cadenas. Ya que está sobre ssl, y suponiendo que su finalización termina exactamente en su servidor, se resiste a que alguien intente cada combinación durante el período de validez de la cadena, y las isps intermedias no estén guardando la url, debería estar bien.