6

Estou implementando uma tela de login e o meu cliente pediu para adicionar um checkbox "Manter conectado" abaixo das credenciais de login.

Ok, adicionar é fácil.

Mas qual o comportamento correto para essa funcionalidade?

Existe algum comportamento padrão para esses casos? Ou vai devo levantar com o cliente como ele quer que essa funcionalidade funcione?

1 Resposta 1

8

Como funciona esta opção (em geral)

O comportamento pode variar, mas geralmente está associado ao cliente não precisar logar no site toda vez que a sessão expirar ou ele fechar o navegador.

Isso é comum em vários sites, evitando que você precisa logar em dezenas de contas de variados serviços (e-mail, redes sociais, etc.) cada vez que ligar o computador ou depois de algum tempo em que a sessão expirar.

O que esta opção geralmente deve fazer é salvar um código secreto aleatório num cookie persistente após o primeiro login, salvando também o hash desse cookie no seu banco de dados. Se um usuário acessar o site sem estar logado, mas tiver um código válido, então considera-se que é o mesmo usuário voltando ao site e você o autentica automaticamente.

Segurança

Bem, claro que nem tudo é tão simples assim. A segurança passa a ser um sério problema nesses casos. Como fazer para alguém não simplesmente roubar o cookie do usuário e se passar por ele?

Existem várias técnicas para mitigar isso, mas nada 100% seguro. Não vou entrar em detalhes de implementação. Há um exemplo aqui se quiser ver. Vejamos algumas precauções em alto nível:

  1. Salve apenas o hash do código secreto no banco de dados, da mesma forma que se faz com senhas, assim se alguém tiver acesso ao BD não consegue obter o código original.

  2. Não permita que o usuário autenticado automaticamente execute ações destrutivas ou privilegiadas sem autenticar-se. Muitos sites fazem isso, é como se um mesmo usuário tivesse dois tipos de acesso. Com autenticação automática ele só pode ver os dados ou executar ações básicas. Se ele quiser, por exemplo, trocar a senha ou fazer um pagamento, então a senha é sempre exigida novamente.

  3. Exija a senha regularmente. Alguns sistemas não "lembram" para sempre. O Evernote, por exemplo, tem a opção de lembrar o usuário por 14 dias. Autenticar novamente uma vez a cada uma ou duas semanas é um meio termo interessante entre fazer isso sempre ou só uma vez.

Negocie com o cliente

O cliente geralmente não é a melhor pessoa para decidir sobre todos os detalhes quando se fala de segurança.

Quer dizer, ele é quem vai decidir no final, mas depois que alguém que entenda o que está fazendo explique a ele as implicações de cada decisão, assim como o custo delas.

Uma abordagem interessante é:

  • Explicar para o cliente os possíveis riscos do "manter conectado"
  • Propor os meios que você pretende usar para mitigar cada um deles
  • Mostrar o impacto no custo, pois isto não é algo que deve ser simplesmente feito de qualquer forma
2
  • fantástica a explicação!!! Na aplicação estou fazendo o controle de autenticação por token, no momento que o usuário autêntica eu gero um token que expira em 360 segundos, gero também um refresh token (não me lembro o tempo de expiração), em cima da sua explicação vou salvar o refresh token nos cookies, caso o usuário selecione a opção "lembre me". O que acha? 7/09/2015 às 18:47
  • @Fabio Parece uma solução razoável.
    – utluiz
    8/09/2015 às 0:02

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .