Come spiegato in precedenza, OpenAI ha recentemente disconnesso l’integrazione SSO; al suo posto, ha sostituito silenziosamente con un indirizzo e-mail ereditato dall’account OpenAI dell’utente, senza password associata di default. Poiché utilizzo un servizio di alias e-mail per ogni account, questo ha richiesto che io ipotizzassi correttamente che ciò fosse accaduto:
Questo non è un processo intuitivo per l’utente medio (anche se non sono così speciale).
Preferirei poter utilizzare anche l’id dell’account, ma sembra essere meno popolare rispetto agli username, ogni volta che ne parlo. Inoltre, sarebbe solo un’aggiunta a questo, quindi probabilmente è fuori ambito.
Aggiungo questo riferimento: è l’impostazione del sito hide_email_address_taken che, quando abilitata (e come notato da @moin, questa impostazione è abilitata per impostazione predefinita), richiede che il modulo “Password dimenticata” accetti solo l’indirizzo email completo. L’opzione di inserire un nome utente in quel campo esiste solo quando l’impostazione è disabilitata.
Ho difficoltà a immaginare come inserire un nome utente lì possa rivelare l’esistenza di un indirizzo email “già utilizzato”, poiché non visualizziamo alcuna parte di quell’indirizzo email nella pagina web (o ovunque abbia visto nella console) dopo che il modulo è stato inviato con un nome utente.
È una novità. In che modo aiuta? La gente stava molestando gli altri inviando richieste di reset della password? È piuttosto comune che gli utenti delle comunità più vecchie non sappiano con quale indirizzo email si sono iscritti.
Aspetta. Che? Perché nascondere l’indirizzo email ti impedisce di reimpostare la password? Mi sembrava che in passato facesse questo con un messaggio tipo “l’email è stata inviata”. E il messaggio per l’uso dell’indirizzo email era qualcosa come “se quell’indirizzo email è presente, abbiamo inviato un messaggio”.
Richiedere l’indirizzo email per la reimpostazione della password è una pessima idea. Sono sorpreso che questo non sia stato considerato un problema prima.
Questo rafforza questa impostazione del sito, che è destinata a essere utilizzata per indurire i siti
che stanno subendo abusi sulle route di recupero password.
In precedenza, negavamo solo la possibilità di far sapere alle persone se il recupero password aveva funzionato o meno La nuova modifica vieta anche l’uso del nome utente per il recupero password quando è abilitato
Quindi non sono sicuro se @sam abbia qualche opinione sul fatto di tornare indietro per i nomi utente, al momento della modifica non era lo stato predefinito, ma a partire dal ~2024 lo è. Penso che il rischio di consentire i nomi utente sia piuttosto basso, qualcuno potrebbe potenzialmente usarlo per inviare a qualsiasi utente casuale un mucchio di email… ma dovrebbe essere limitato dalla rate limiting.