Wir werden Topicbox zu einem selbst gehosteten Discourse migrieren, der sehr offen ist, aber wir möchten auch Probleme wie Spam, Hacker usw. vermeiden. Wir beabsichtigen, die Authentifizierung über Google, GitHub und einige andere Quellen zu ermöglichen.
Ich sehe unterschiedliche Meinungen zu diesem Thema aus den Jahren über die Risiken der Aktivierung der Authentifizierung über die Discourse-ID. Daher frage ich mich, was die aktuelle Weisheit bezüglich der Erlaubnis der Anmeldung über die Discourse-ID ist. Überwiegen die Vorteile die potenziellen Nachteile/Risiken oder sind sie so schlecht, wie die Google-Suchergebnisse nahelegen? Sind die Risiken der Discourse-ID im Vergleich zur Erlaubnis der Anmeldung über die aforementioned Quellen signifikant höher?
Die aufgeführten Risiken sind größtenteils das, was man als „Halluzinationen“ bezeichnen würde.
Reputationsmismatch: Vertrauensstufen (TL0–TL4), die auf anderen Foren erworben wurden, stimmen möglicherweise nicht mit den Standards deiner Community überein und könnten externen Nutzern Post- oder Moderationsrechte gewähren, die sie lokal nicht verdient haben.
Das macht Discourse ID nicht.
Datenabhängigkeit: Du bist auf externe Server oder Netzwerke zur Identitätsverifizierung angewiesen. Wenn der entfernte Login-Anbieter Ausfälle erlebt oder seine API-Regeln ändert, könnten deine Nutzer den Zugang verlieren.
Das gilt für jeden Social Login.
Verkettete Schwachstellen: Die Sicherheitslage deiner Website wird an die schwächste beteiligte Website oder den zentralen Identitätsanbieter gekoppelt. Wenn eine externe Partnerwebsite kompromittiert wird, könnten Böswillige diese Konten nutzen, um auf deine Instanz zuzugreifen.
Discourse ID basiert auf Discourse, also derselben Software, die deine Community betreiben wird.
Kontokapernungsausbreitung: Wenn ein Nutzer ein schwaches Passwort verwendet oder einem Datenleck auf einer entfernten, beteiligten Website zum Opfer fällt, kann dieser kompromittierte Zustand direkt in deinen Foren-Authentifizierungsprozess einfließen.
Das ergibt keinen Sinn.
Nutze Discourse ID, wenn du viele Social-Logins mit null Aufwand haben möchtest. Nutze es nicht, wenn du genau kontrollieren möchtest, welche Methoden Nutzer zur Anmeldung auf deiner Website verwenden können.
