Migraremos Topicbox a una instancia de Discourse autoalojada, que es muy abierta, pero tampoco queremos problemas de spam, hackers, etc. Tenemos la intención de permitir la autenticación a través de Google, GitHub y algunas otras fuentes.
He visto opiniones divergentes sobre este tema en los últimos años sobre los riesgos de habilitar la autenticación mediante Discourse ID. Así que me pregunto, ¿cuál es la sabiduría actual sobre permitir el inicio de sesión usando Discourse ID? ¿Los beneficios superan las desventajas/riesgos potenciales o es tan malo como sugieren los resultados de búsqueda de Google? ¿Los riesgos de Discourse ID son peores que permitir el inicio de sesión a través de las fuentes mencionadas anteriormente?
Esos riesgos enumerados son mayormente lo que la gente llama «alucinaciones».
Desajuste de reputación: Los niveles de confianza (TL0–TL4) obtenidos en otros foros pueden no alinearse con los estándares de tu comunidad, otorgando potencialmente a usuarios externos privilegios de publicación o moderación que no han ganado localmente.
Discourse ID no hace eso.
Dependencia de datos: Dependes de servidores o redes externas para la verificación de identidad. Si el proveedor de inicio de sesión remoto experimenta una caída o cambia sus reglas de API, tus usuarios podrían perder el acceso.
Lo mismo es cierto para cualquier inicio de sesión social.
Vulnerabilidades encadenadas: La postura de seguridad de tu sitio queda vinculada al sitio participante más débil o al proveedor de identidad central. Si un sitio asociado externo es comprometido, actores maliciosos podrían aprovechar esas cuentas para acceder a tu instancia.
Discourse ID se construye sobre Discourse, que es el mismo software que ejecutará tu comunidad.
Propagación de toma de control de cuentas: Si un usuario utiliza una contraseña débil o sufre una filtración de credenciales en un sitio participante remoto, ese estado comprometido puede fluir directamente hacia tu flujo de autenticación del foro.
Esto no tiene sentido.
Usa Discourse ID si quieres obtener muchos inicios de sesión sociales sin esfuerzo alguno. No lo uses si deseas controlar exactamente qué métodos pueden usar los usuarios para iniciar sesión en tu sitio.
