Sosterremo Topicbox su un Discourse auto-ospitato, che è molto aperto, ma non vogliamo nemmeno problemi di spam, hacker, ecc. Intendiamo consentire l’autenticazione tramite Google, GitHub e alcune altre fonti.
Vedo opinioni divergenti su questo argomento da anni sui rischi dell’abilitazione dell’autenticazione tramite Discourse ID. Quindi mi chiedo, qual è la saggezza attuale riguardo al consentire l’accesso utilizzando Discourse ID? I benefici superano i potenziali svantaggi/rischi o sono così cattivi come suggeriscono i risultati di ricerca di Google? I rischi di Discourse ID sono peggiori rispetto al consentire l’accesso tramite le fonti sopra menzionate?
I rischi elencati sono per lo più quello che la gente chiama “allucinazioni”.
Disallineamento della reputazione: I livelli di fiducia (TL0–TL4) guadagnati su altri forum potrebbero non allinearsi agli standard della tua community, potenzialmente concedendo a utenti esterni privilegi di pubblicazione o moderazione che non hanno guadagnato localmente.
Discourse ID non fa questo.
Dipendenza dai dati: Dipendi da server o reti esterne per la verifica dell’identità. Se il provider di login remoto subisce un’interruzione del servizio o cambia le regole della sua API, i tuoi utenti potrebbero perdere l’accesso.
Lo stesso vale per ogni login sociale.
Vulnerabilità concatenate: La postura di sicurezza del tuo sito diventa legata al sito partecipante più debole o al provider di identità centrale. Se un sito partner esterno viene compromesso, attori malintenzionati potrebbero sfruttare quegli account per accedere alla tua istanza.
Discourse ID è costruito sopra Discourse, che è lo stesso software che la tua community eseguirà.
Propagazione del takeover dell’account: Se un utente utilizza una password debole o subisce una fuga di credenziali su un sito partecipante remoto, quello stato compromesso può fluire direttamente nel flusso di autenticazione del tuo forum.
Questo non ha senso.
Usa Discourse ID se vuoi ottenere molti login sociali con zero sforzo. Non usarlo se vuoi controllare esattamente quali metodi gli utenti possono usare per accedere al tuo sito.
