4

Estou desenvolvendo uma aplicação, e estou com dúvida na parte de recuperação de senha.

Tenho um método que o usuário insere o email que é cadastrado na aplicação quando o mesmo esquecer a senha. Ex:

public function esqueciSenha($email)
{
  self::enviaEmail($email);
  ...
}

Essa função enviaEmail, gera um token de recuperação de senha, e enviará uma URL para o usuário por email. Ex:

http://aplicacao.com/alterarSenhaPorToken?token=6d352bcc2811a85820d5252df9bb9086&id=1

Na URL gerada, irá ter um formulário para o usuário digitar a nova senha. Pensei em fazer o AJAX pegar o token de alteração de senha, o id do usuário (passados na url) e o novo password, e enviar para o método alterarSenhaPorToken (via POST), que recebe $id, $token e $novaSenha, e irá validar o token e id, e assim alterar a senha do usuário.Ex:

public function alterarSenhaPorToken($id, $token, $novaSenha){
  // validação do token
  ...
  self::trocarSenha($id, $novaSenha);
  ...
}

Minhas dúvidas:

Há problemas em passar o token e o id do usuário pela URL? Em questões de segurança? Caso haja problemas, qual seria a forma mais segura de fazer isso?

2
  • 2
    No banco de dados registre o token com o id do usuario, de acordo com este id, ai voce faz uma pesquisa na hora de gerar a nova senha, sendo assim, voce consegue pelo token identificar quem é o usuario que está solicitando a troca... ai faz o update\ Commented 1/10/2015 às 17:14
  • 1
    Obrigado @AndréBaill, vou fazer o que sugeriu e testar! Commented 1/10/2015 às 17:30

2 Respostas 2

5

Há problemas em passar o token e o id do usuário pela URL? Em questões de segurança?

Não.

Tokens possuem este intuito. Vale ressaltar que é preciso apenas tomar algumas medidas de segurança, sendo elas:

  • Por qual motivo você esta mostrando o ID do usuário na URL?
  • Esta token tem lifetime?
  • Esta token é unique?

Unique

Não é recomendado deixar o ID do usuário exposto. E particularmente não vejo motivo para trabalhar com o ID, pois vamos partir do princípio que essa token seja unique correto? Alias, isso é básico, gerar unique ids unique. Se a token neste caso é unique ela estará ligada a um user apenas, ou seja, ter a token você já sabe qual é o user, descartando necessidade de repassar o ID.

Lifetime

Por quanto tempo essa token será válida? Interessante é colocar lifetime nela, ou seja, deixar essa token com tempo para expirar, caso o usuário não venha a utilizar dentro de x tempo ele precisará gerar uma nova.

Considerações

Existem algumas técnicas como ligar a token ao IP do usuário... bom, eu particularmente não recomendo, pois você poderá acabar se batendo de frente com práticas costumeiras de usuários. Como assim?

Fulano X requisitou trocar a senha de uma conta que esta cadastrada para Fulano Z, Fulano Z recebeu o email e deu o link para Fulano X, o link irá funcionar?

Bom, para finalizar esta pratica é super normal, geralmente para password recovery só é preciso ter atenção com alguns detalhes.

3
  • Agradeço o esclarecimento, no caso de passar o id por URL, era apenas porque o método trocarSenha, que recebe $id e $novaSenha, é genérico, utilizo ele para trocar a senha do usuário já autenticado também. Commented 1/10/2015 às 17:25
  • 1
    @mauriciocaserta não se deve repassar o ID do usuário por link. Para isso basta contornar, na função caso o ID não seja repassado você faz uma query buscando o usuário pela token, não ID.
    – juniorb2ss
    Commented 1/10/2015 às 17:26
  • @mauriciocaserta não esqueça de sinalizar a resposta como correta.
    – juniorb2ss
    Commented 1/10/2015 às 22:08
3

Não vejo muito problema e também é uma prática comum. Eu só faria essas sugestões:

  1. Na hora de gerar o token, guarde o endereço IP e a data/hora da criação
  2. Na hora de validar o token (alterarSenhaPorToken) verifique que é o mesmo IP e que o token não é mais velho que X horas (ou minutos, a seu critério)
  3. Como seu último método já é um POST, eu também colocaria o token no corpo do post, não na querystring, embora eu ainda não veja tanto problema assim. É mais por coerência mesmo.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .