Wpis z mikrobloga

@Nexiu:
Jeśli to HTTPS z ustawionym Strict-Transport-Security w nagłówku to nie ma tragedii.

Ale w żadnym wypadku nie jest to dobra praktyka.
W ten sposób serwer odbiorcy zapytania ma twoje dane w logach. Nie trzeba nawet włamania żeby wyciekły. Starczy, że admin wyśle gdzieś logi do analizy ¯\(ツ)/¯
  • Odpowiedz
@Nexiu: nie jest to złe. Słabo, że wysyłają to w URL przez co może się wydarzyć, że klient zobaczy swoje hasło. Samo pojedyńcze hashowanie (tj. tylko po stronie backendu) nie jest złe, bo przecież HTTPs nas chroni. Problelem może być np. logowanie backendu, które może przypadkowo wyświetlić take hasło. Jak do serwera przychodzi hash to jest dużo mniejszy przypał
  • Odpowiedz