Link di autologin via mail: come ottenere una URL sicura

[AnFrusch@pepp]

Ciao a tutti, ho la necessità di inviare ad alcuni clienti un link via mail che consenta loro di loggarsi automaticamente (senza passare per il form sul sito e inserire username e password).
Ora è chiaro che potrei inviare in chiaro username e password, tuttavia non è una tecnica sicurissima.
E' altrettanto vero che non mi è possibile generare un link in cui le variabili che compongono la querystring vengano passate allo script phpp con un POST.

Come gestireste un problema di questo tipo?

[Xnetus]

Prova a dare un'occhiata a questo link: http://www.bitrepository.com/php-autologin.html

[AnFrusch@pepp]

Ciao, in effetti è un sistema interessante che terrò presente, tuttavia il mio problema è di natura diversa.
Purtroppo in azienda è considerato "necessario" che i clienti si logghino sul sito senza fare il minimo sforzo dunque è importante che i suddetti ricevano via mail una o diverse url a seconda dell'azione che deve scaturire e cliccarci sopra, loggarsi, andare nella pagina in cui devono andare e fare quello che devono fare. Questa cosa il cliente deve averla a disposizione in un numero 'x' di postazioni che ricevono quella mail. In questo flusso è piuttosto raro che il cliente usufruisca del form in home page e assai più raro che si renda conto che deve mettere una spunta 'remember me'.

[Xnetus]

Ho capito....


Ma questo link deve esser temporaneo o permanente?

[StarFinger]

link

// questo lo invii via mail

$link = "http://www.tuosito.it/dircliente/?pass=".md5($pass)."&id=".$id."&azione=saluti";

// id potresti pure criptarlo con md5 

poi nella pagina index.php di dircliente inserisci un controllo sulla password archiviate e nell'id, e vedi che azione fargli fare.

Ciao

[Xnetus]

Credo che sia meglio nn inserire i dati in chiaro...

[AnFrusch@pepp]

Ciao, è questo il punto, in alcuni casi il login deve essere un link perenne, in altri potrei pure gestirlo in modo temporaneo.
Anche secondo me il passaggio in chiaro non è mai il massimo a prescindere.

Quello che volevo approfondire era appunto la giusta tecnica per non passare dati sensibili in una url senza usare - per forza di cose - il post.

[Xnetus]

Utilizzano IP statici?

[AnFrusch@pepp]

Niente ip statici.. sono clienti (tanti) che ricevono queste mail e utilizzano quei link.
Negli anni - purtroppo - ci si sono abituati ed è ora difficile 'rieducarli' a un sistema normale di login.

[Xnetus]

Provo a darti una soluzione:

Gli setti cmq un user ed una password per ogni utente e gli associ una stringa identificativa.

Nell'url che gli passi ci metti come parametro questo campo (giusto per riconoscere l'utente che ti sta chiedendo il login).

Al primo accesso gli setti un Cookies dove memorizzi User e Password, quindi, dopo il primo accesso, vai a controllare se ci sono i Cookies che hai settato, se eventualmente non ci sono più gli devi chiedere di inserire la password, così sei sicuro dell'identità dell'utente che sta effettuando il login.