Як Splync v1.1 обробляє скидання паролів

Разом із верифікацією електронної пошти, Splync v1.1 запровадив скидання пароля — просту, але важливу функцію, яка підвищує безпеку облікових записів. Це може здатися звичайним, але вирішує одну з найбільш поширених і критичних проблем в будь-якому додатку: допомагає користувачам безпечно відновити доступ до їхніх обліковок. Давайте детальніше розглянемо, чому скидання паролів має значення і як Splync реалізує цю функцію безпечно.

Почнемо з очевидного питання — що буде, якщо ви забудете свій пароль у Splync? Без належної системи скидання ви втратите доступ до всіх своїх спільних бюджетів, витрат та даних проектів. Уявіть, що ви не можете перевірити, скільки витратили на весільний проект або хто заплатив за минулий місяць — все, що ви відстежували і врівноважували з друзями, буде недоступне. Але окрім цифр, ці записи витрат також розповідають історії — де ви їли разом, що купували один для одного та як ділили моменти, що стали частиною ваших спогадів. Втрата доступу до цієї історії означає втрату тихого архіву вашого спільного життя. Без скидання паролів деякі користувачі можуть відмовитися від Splync взагалі, в той час як інші можуть створити новий обліковий запис і втратити всі свої минулі записи. У будь-якому випадку, це болісна втрата як для користувачів, так і для розробників.

Скидання паролів не лише про зручність — це про довіру та безпеку. Без них немає надійного способу довести право власності, коли доступ втрачено. Вони також слугують аварійним захистом, якщо паролі виявлено чи використано деінде. З точки зору розробника, автоматизована система скидання зменшує навантаження на службу підтримки, зберігаючи користувачів активними та впевненими. Це також встановлює основу для майбутніх функцій, таких як багатофакторна автентифікація та відновлення облікових записів.

Як і верифікація електронної пошти, Splync обробляє скидання паролів повністю на серверній стороні для максимальної безпеки. Коли користувач запитує скидання, додаток відправляє його електронну адресу на бекенд FastAPI. Сервер перевіряє, чи існує вона в базі даних, а потім генерує безпечний одноразовий токен з коротким терміном дії. Використовуючи SMTP, сервер відправляє електронний лист, що містить посилання для скидання. Коли користувач клацає на нього, додаток перевіряє дійсність і термін дії токена. Якщо все в порядку, користувач може безпечно встановити новий пароль. Новий пароль хешується за допомогою bcrypt перед збереженням у MariaDB, а токен стає недійсним одразу — запобігаючи повторному використанню. Щоб зберігати порядок, сервер Splync також автоматично видаляє прострочені токени — гарантуючи, що жодні залишкові дані не зберігаються за межами свого терміну дії. Це забезпечує, що лише справжній власник обліковки з доступом до зареєстрованої електронної пошти може завершити процес. Навіть якщо хтось чужий намагатиметься скинути пароль, без цього унікального токена їм не вдасться отримати доступ.

Токен — це тимчасовий, випадково згенерований ключ, що підтверджує особистість без розкриття конфіденційної інформації. У Splync кожен токен є одноразовим «цифровим квитком», який працює лише раз і закінчується за короткий час. Коли ви клацаєте на посилання для скидання, сервер перевіряє, чи відповідає цей квиток вашому обліковому запису і чи не закінчився термін дії або не був використаний раніше. Це проста ідея, але одна з найважливіших рівнів сучасної безпеки в інтернеті.

Захищена система настільки надійна, наскільки надійні паролі, що її захищають. Уникайте всього передбачуваного — жодних дат народження, імен домашніх улюбленців або «12345». Використовуйте комбінацію випадкових слів, цифр і символів або дозвольте менеджеру паролів згенерувати його для вас. Деякі служби досі вимагають від користувачів змінювати паролі кожні кілька місяців, але сучасні дослідження, включаючи рекомендації NIST (Національний інститут стандартів і технологій), показують, що це насправді може знижувати безпеку. Часті зміни примушують людей використовувати слабкі шаблони або записувати паролі. Splync обирає інший підхід. Ми заохочуємо користувачів обирати надійні, унікальні паролі та скидувати їх лише за потреби. А якщо запам'ятовування здається втомливим, ви можете повністю пропустити це: Splync підтримує Apple Passkeys, дозволяючи вам миттєво входити за допомогою Face ID або Touch ID. Passkeys використовують криптографічні ключі, що зберігаються безпечно на вашому пристрої — їх неможливо вгадати, вкрасти або повторно використати. Це швидко, безпечно і сучасно — так само, як і підхід Splync до безпеки.