Sicurezza dei link con password — cosa succede quando clicchi

Metà delle guide sui link con password iniziano con la frase che si tratta di un "ulteriore livello di sicurezza". E finisce qui. A mio parere, è proprio la cosa meno importante che si possa dire a riguardo.

Perché lo "strato di sicurezza" non spiega nulla. Non ti dice cosa succede a quella password, chi la vede, né quando abbia senso. E queste sono le uniche domande che vale la pena porsi prima di cliccare su "Aggiungi password".

Quindi uno alla volta.

La password del link non è la stessa cosa della serratura sul cancello

Le persone immaginano che una password chiuda un link in modo ermetico. Non è così. La sicurezza dei link protetti da password funziona piuttosto come un biglietto per un concerto: chi ha il biglietto, entra. Chi lo cede a qualcuno, permetterà anche ad altri di entrare.

Sembra un difetto. Non lo è. Bisogna solo sapere a cosa serve questo meccanismo.

Tre situazioni in cui è davvero utile:

Listino prezzi per i clienti premium o documento in versione beta, prima che venga rilasciato al mondo. Senza password, un link del genere prima o poi finirà su Google o passerà di mano in mano.

Contenuto con data di scadenza. Offerta valida solo per venerdì. Materiale della conferenza esclusivamente per i partecipanti. La password crea un ingresso controllato tramite il link — sai che qualcuno l'ha ricevuta da te, non l'ha trovata per caso.

E una cosa che pubblichi in modo completamente pubblico, ma che vuoi tenere sotto controllo. Il link può circolare. Senza password, nessuno potrà comunque entrare.

E ora ecco ciò che questa guida non doveva tralasciare

Inserisci la password nel modulo. Nello stesso momento, essa scompare. Letteralmente. Il fatto che tu abbia impostato "tajne123" smette di esistere in forma leggibile prima ancora che tu riesca a rilasciare il tasto.

Cosa rimane nel database? Non la password. L'impronta digitale dopo di essa. Tecnicamente: hash. Una sequenza di caratteri che corrisponde alla tua password solo quando qualcuno inserisce esattamente la stessa cosa che hai inserito tu. Di per sé non rivela nulla.

Lo dirò chiaramente, perché è importante: io, come gestore del servizio, non ho modo di leggere la tua password. Non perché io sia gentile. Ma perché fisicamente non c'è nulla da leggere. Se qualcuno dovesse violare il database, porterebbe via un mucchietto di queste impronte e tutto qui.

L'algoritmo che calcola questo è intenzionalmente lento. So che "lento" suona come una lamentela, ma è un vantaggio. L'obiettivo è che chiunque abbia rubato il database debba impiegare un tempo assurdo per indovinare una singola password. Parliamo di anni, non di secondi.

Click dall'altro lato

Qualcuno riceve il tuo link e clicca. Invece di arrivare subito a destinazione, vede uno schermo: "questo link è protetto da password", un campo in cui digitare, un pulsante.

Digita. Il server confronta ciò che è stato digitato con l'impronta salvata. Corrisponde? Riceve un token di sessione valido per un giorno. Per le successive 24 ore, torna al link senza dover digitare nulla. Non deve ricordare, non deve faticare.

Non è corretto? Errore. Cinque errori dallo stesso indirizzo IP e l'accesso viene bloccato per cinque minuti. Un bot che tenta di colpire con le password in sequenza si scontra con un muro.

Cosa semplicemente non c'è qui

Non salviamo le password in chiaro. In nessun posto. Nemmeno nei log che consulto quando cerco errori.

Non inviamo password via email. Il che significa che se qualcuno dimentica la password, non gliela invierò perché non la conosco. Devi inviarle tu stesso, usando lo stesso canale di prima.

E non condividiamo le password all'esterno. Nessuna analisi, nessun marketing, nessun AB tocca questi dati. (Questa è una regola che si applica a tutto cutty.dev, non solo qui.)

Due abitudini che fanno la differenza

Primo: non inventare una password a mente. Il nome dell'azienda più l'anno di fondazione è un regalo per chiunque ti conosca. Un generatore nel browser ne produrrà qualcosa di migliore in un secondo.

Il secondo, più importante: non inviare la password dallo stesso canale del link. Il link è stato inviato via email? Invia la password tramite SMS. O viceversa. Il senso è che l'intercettazione di una sola casella non fornisce a nessuno il set completo.

Un piccolo dettaglio che pochi conoscono: puoi creare diversi link che rimandano allo stesso indirizzo, ma con password differenti. Dai l'accesso a cinque persone, un link separato per ognuna. Una deve andarsene? Blocchi il suo link, e gli altri non se ne accorgeranno nemmeno.

Cambierai la password senza creare un nuovo link. Pannello, "Modifica", nuova password. Nota: tutte le sessioni attive di 24 ore scadono immediatamente. Tutti dovranno inserire nuovamente la password.

Un confine che vale la pena conoscere in anticipo

Torniamo al biglietto per il concerto. La password protegge dai motori di ricerca e dagli ospiti accidentali. Non protegge da chi conosce la password e decide di condividerla con il mondo.

Se il tuo scenario suona come "deve vederlo esattamente solo questa persona e nessun altro", allora una password non basta. Qui hai bisogno di account, login, autorizzazione. Un'altra lega, un altro problema.

Ma alza la mano, quanto spesso ti capita davvero uno scenario del genere? Nella mia esperienza, raramente. Nella stragrande maggioranza dei casi, si tratta del semplice "non voglio che ci finisca qualcuno per strada". E con questa frase se ne ha in abbondanza.

Se vuoi vedere come appare dall'interno — durante la creazione del link espandi "Opzioni avanzate" e seleziona "Aggiungi password". Il resto avviene automaticamente.