7

Recentemente estamos em uma onda de usar a combinação de input de senhas com a opção de ocultar/exibir a senha (*** -> abc), com a técnica do "olho". Entendo esse propósito, pois melhora muito o lado de UX da aplicação.

Eye Password Box

Sei que um dos motivos de se usar type="password" seria de esconder a senha dos olhos "curiosos" em volta. Mas fora isso, gostaria de saber se existe alguma questão de segurança mais profunda que possa envolver o input e a senha em si.

Pois se houver, deveríamos fazer com que o usuário mude de volta o input para o tipo password antes de enviar qualquer informação.

2
  • 4
    É so para esconder a senha mesmo, não tem absolutamente nenhum beneficio extra de segurança. Tanto que você consegue pegar o texto integral da senha com javascript, ou simplesmente trocando o tipo dele para text pelo inspetor de elementos. 9/09/2016 às 12:02
  • Além dos pontos citados pelo @NeuberOliveira há também mais uma coisa, quando o campo é to tipo password, é impossível copiar o conteúdo usando Ctrl + C (pelo menos no Linux e no Windows). Mas como ele mesmo afirmou, é possível capturar o conteúdo usando Javascript.
    – Avelino
    9/09/2016 às 20:52

1 Resposta 1

13

Zero!

É só o que está na pergunta mesmo, ele oculta a senha quando está digitando e mais nada.

Se o computador estiver infectado com algo, vai ler a senha normalmente. E não tem o que fazer quanto a isso. Já vi tentaram (bancos cof cof) fazer coisas para resolver isso e são inócuas.

Nem precisa dizer que para enviar também não vale nada. Só o HTTPS resolve essa questão e resolve bem, claro que se usado corretamente. Só não espere que HTTPS resolve todos os tipos de ataques existentes.

Lembre-se que tudo que vai para o cliente está fora de seu controle e pode ser observado e até mudado sem você saber, por isso dizemos que não se pode confiar em nada que vem do cliente: Usar validação via cliente é suficiente?.

Mesmo usando HTTS, você apenas pode confiar que a informação não foi observada e adulterada no transporte, não pode garantir que ele não foi adulterada antes de ser enviada, muito menos observada.

Coloquei no GitHub para referência futura.

1
  • 1
    Já vi banco grande que tinha tecladinho pra digitar a senha, mas cada caractere era concatenado para uma variável global.... 🤦‍♂️🤦‍♂️ 27/07 às 14:38

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .