Cuenta de usuario sin contraseña

El hecho de que no haya establecido una contraseña no significa que se pueda acceder a su cuenta. Sin ver el código, no puedo estar seguro, pero es posible que no pueda iniciar sesión en su cuenta hasta que haya utilizado el enlace en el correo electrónico para establecer la contraseña. Seguía usando la misma ID de sesión mientras seguía usando el sitio.

Como programador que ha creado un flujo de trabajo de registro de usuarios como este, puedo asegurarle que no hay nada de qué preocuparse .

Un poco de información de fondo

Cuando ingresa su correo electrónico, no se crea una cuenta de usuario (sí, lo leyó correctamente). El correo electrónico, enlace, tiempo de caducidad y otros detalles se almacenan. Una vez que verifique su correo electrónico e ingrese la contraseña, se creará una nueva cuenta de usuario.

Después de algún tiempo, si la cuenta de usuario no se verifica, se eliminará toda la información relacionada con el usuario.

Entonces, lo que sucedió aquí es que su correo electrónico se verifica antes del proceso de registro.

¿Por qué se hace esto?

Hicimos esto para evitar la creación de cuentas de usuario falsas. También evita que alguien cree una cuenta de usuario asociada a su correo electrónico.

Ahora para responder a tus preguntas

  

¿Tenía derecho a ser escéptico? ¿Debo "borrar" mi cuenta?

No es necesario eliminar tu cuenta. Este es un comportamiento poco común pero no perjudicial. Es solo una medida de seguridad adicional.

  

Sin embargo, noté que usó mi dirección de correo electrónico y creó un usuario.   cuenta sin pedirme una contraseña.

Este enfoque tiene que ver con proporcionar la experiencia del usuario con más comodidad; quieren tu currículum e información pero no quieren molestarte con adivinar la contraseña, así que te dejan con la opción de tomar tu tiempo para establecer tu contraseña o nunca volver, después de todo, tienen tus datos.

Si usa otro navegador o máquina para cargar su currículum con el mismo correo electrónico, probablemente se le informará de que ya existe otra cuenta con el mismo correo electrónico, pero usted o cualquier otra persona no puede acceder a esa cuenta sin el enlace que envió. para usted (pero no necesariamente, ya que depende de cómo gestionen las ID únicas)

  

¿Tenía derecho a ser escéptico? ¿Debo "borrar" mi cuenta? yo digo   elimínelo entre comillas, porque quién sabe si esto se hará.

Este enfoque es muy común.
No tiene que eliminar su cuenta, a menos que tenga otra razón.

Primer punto importante: a menos que hayan hecho algo realmente tonto, una cuenta sin contraseña no es un riesgo de seguridad. En cambio, sería una práctica normal que alguien no pueda iniciar sesión en una cuenta sin una contraseña. Desde esa perspectiva, crear una cuenta sin una contraseña, enviar un correo electrónico al usuario para confirmar, y luego hacer que establezcan una contraseña no es más o menos seguro que establecer una contraseña temporal. Como resultado, no existe una verdadera preocupación de seguridad aquí.

Piénselo de esta manera: el enlace que le proporcionó el correo electrónico es, en cierto modo, su contraseña temporal. Es una contraseña temporal "especial" que le permite crear una contraseña real.

Mira el enlace. ¿Contiene un token largo / cadena? Si es así, (y si se implementa correctamente, de lo que nunca puede estar 100% seguro), entonces es tan seguro como enviar una contraseña temporal literal.

Ahora, si el enlace no contiene un token y es una URL corta y fácil de adivinar, es posible que esté utilizando la sesión que ha establecido al crear la cuenta. Si tampoco lo está haciendo, entonces el sistema es verdaderamente vulnerable, ya que cualquiera podría adivinar dicha URL y cambiar la contraseña de la cuenta asociada.

No veo ninguna razón para eliminar la cuenta.

1. y creé una cuenta de usuario ... Tenía una cuenta de usuario . ¿Cómo sabes que se creó realmente? ¿Ha intentado iniciar sesión antes de confirmar su correo electrónico? Puede que no se haya creado ninguna cuenta. Puede que se haya creado solo después de que hayas confirmado tu correo electrónico.
2. Se puede crear una cuenta, pero se deshabilitó desde el principio hasta que confirme su correo electrónico.