En un formulario de registro se le solicita al usuario su dirección de correo electrónico. La dirección de correo electrónico se validará con el formato correcto (por ejemplo, al menos contiene @ ) y estoy considerando verificar si ya está registrado. ¿Esto supondría un riesgo para la seguridad, ya que permitiría a los atacantes verificar las direcciones de correo electrónico de los usuarios con cuentas? En caso afirmativo, ¿cómo puede mitigarse la amenaza?
Para evitar este tipo de fuga, también puede comenzar el proceso de registro solicitando el correo electrónico. Después de ingresarlo, enviará un correo electrónico con un enlace para que el usuario pueda continuar con el proceso de registro. Si el correo electrónico ya estaba registrado, enviaría un correo electrónico diciendo eso.
De esa manera, solo el propietario del correo electrónico podría registrarse.
Inconvenientes :
Usar un nombre de usuario en lugar de una dirección de correo electrónico es un método o usar una combinación de ambos para cosas sensibles a la seguridad como restablecimientos de contraseñas. Esto hace que el descubrimiento de una dirección de correo electrónico particular sea menos útil si se necesitan tanto un nombre de usuario como un correo electrónico.
No es tan importante filtrar el hecho de que existe una dirección de correo electrónico particular en la mayoría de los casos, a menos que la privacidad sea una gran preocupación, en cuyo caso es preferible utilizar nombres de usuario exclusivamente para la exclusividad. Alternativamente, puede permitir que aparezca la cuenta, pero enviar un correo electrónico a la dirección de correo electrónico indicada indicando que ya existe una cuenta.
He visto que más sitios cambian la respuesta a las cuentas que se han creado (notificación), a algo como: "Si la cuenta existe, se enviará un correo electrónico" contra: " no hay tal cuenta "(que le permite a alguien que se registre saber si ya existe una cuenta o no) Si desea detener la" enumeración de la cuenta ", mire a OWASP:" Pruebas de enumeración de usuario y cuenta de usuario de Guessable "
Lea otras preguntas en las etiquetas email validation