Passwort vergessen und Sicherheit

Anna möchte sich im Forum anmelden, weiß ihr Passwort aber nicht mehr. Für diesen Fall steht unter dem Anmeldeformular der Link „Passwort vergessen?“.

Das Forum verschickt kein Passwort, sondern einen Link. Anna gibt die Adresse ein, mit der sie registriert ist. Je IP-Adresse nimmt das Forum höchstens fünf solche Anforderungen pro Stunde an.

Diese Meldung lautet immer gleich, ob es die Adresse im Forum gibt oder nicht. So kann niemand ausprobieren, welche Adressen in Ihrem Forum ein Konto haben.

Im Beispiel landet die Mail im Testpostfach Mailpit. Scheitert der Versand, zeigt das Forum trotzdem dieselbe Meldung. Testen Sie den SMTP-Zugang deshalb vor dem Start mit einer eigenen Anforderung.

Die Mail enthält einen Link mit einem zufälligen Schlüssel. Er gilt eine Stunde und nur ein einziges Mal. Fordert Anna noch einen an, wird dieser hier ungültig.

Der Link öffnet im Forum das Formular für das neue Passwort. Seine Adresse stammt aus der Board-URL in den Grundeinstellungen. Stimmt die nicht genau, führt der Link ins Leere.

Anna gibt das neue Passwort zweimal ein, mindestens acht Zeichen. Stimmen die beiden Eingaben nicht überein, bleibt das alte Passwort bestehen.

Nach dem Senden gilt das neue Passwort, und der Link ist verbraucht. Ein zweiter Klick darauf meldet nur noch, dass er ungültig oder abgelaufen ist.

Über „Einloggen“ meldet sich Anna mit ihrer E-Mail-Adresse und dem neuen Passwort an. Oben steht jetzt „Eingeloggt als Anna“.

Nach zehn Fehlversuchen sperrt das Forum die Anmeldung für diese IP-Adresse fünfzehn Minuten lang. Hinter einem Reverse-Proxy sieht es alle Besucher unter einer Adresse, dann träfe die Sperre alle.