Se un utente ha individuato il proprio account (quindi conosce il username e l’id), ma non ricorda la password (e non ha aggiunto un metodo di autenticazione 1FA, come CTAP2), non può recuperare l’indirizzo e-mail dell’account semplicemente aggiungendo .json all’URI del profilo corrispondente.
Di conseguenza, come può richiedere il reset della password, visto che il modulo per il reset richiede un indirizzo e-mail e non accetta un nome utente?
possono cercare la dominio del forum nei vari account email? quanti indirizzi email hanno? 
Se tutto il resto fallisce…
a**********t@*****.com? a volte è sufficiente per aiutare (ma rivela anche un po’ di informazioni, quindi potrebbe non esserlo)Gli utenti con ruolo di staff possono visualizzare l’indirizzo email con cui un utente si è registrato. Lo staff può comunicare all’utente quale sia il suo indirizzo email, in modo che questi possa effettuare l’accesso.
L’email non è visibile nel JSON. In realtà, è piuttosto nascosta, persino per lo staff (cioè dietro il pulsante “Mostra”), e, se non ricordo male, viene registrata nei log dello staff.
È possibile farlo?
@awesomerobot e @NateDhaliwal, il problema con questi approcci è che ho recentemente vissuto questa situazione su community.openAI.com, poiché utilizzo un servizio di alias e-mail, come fanno molti oggi. Anche se sarebbe stato peggio se avessi semplicemente usato un sotto-indirizzo per il mio indirizzo e-mail, pratica comune, poiché sarebbe stato impossibile da ricordare. [1] Sfortunatamente, non è prevista alcuna modalità di contatto con i moderatori, come avviene in molte istanze Discourse, e questo è un altro problema.
Se non fossi riuscito a recuperare il mio indirizzo e-mail, sarei stato fuori dai giochi.
Ciao @roke_julian_lockhart,
In realtà accetta anche il nome utente.
Il primo campo del modulo richiede l’e-mail o il nome utente.
Il link sotto il primo campo funziona, indipendentemente dal fatto che tu abbia inserito l’e-mail o il nome utente.
Anche il link Ho dimenticato la mia password funziona sia con il nome utente che con l’e-mail, a meno che gli Amministratori non abbiano attivato l’impostazione del sito Nascondi se l'indirizzo e-mail è già in uso.
Sul sito di OpenAI, il modulo per il recupero della password richiede un’e-mail, ma su un altro sito in cui tale impostazione è disabilitata, il modulo consente di inserire il nome utente:
Quindi, a meno che non abbia frainteso la tua richiesta, sembra che supportiamo già ciò che stai chiedendo.
@southpaw, quindi la possibilità di accettare un nome utente durante il reset della password è una preferenza, che hanno disabilitato? Chiedo perché quello che osservo lì è:
Se è così, forse dovrebbe essere reso più chiaro, con qualcosa del tipo:
Questa istanza di Discourse ha disabilitato il reset della password basato sul nome utente.
Tuttavia, osservo la stessa cosa anche qui:
Non capisco perché il modulo, di cui hai inviato uno screenshot, sembri diverso da quello che osservo anche qui.
Sono certo che sarete d’accordo nel ritenere che impedire ad altri di scoprire il vostro indirizzo email debba essere una priorità assoluta del sito. A tal fine, esiste un’impostazione del sito che gli amministratori possono scegliere di attivare, fornendo un livello di protezione aggiuntivo rifiutando di dare indizi alle persone se cercano di indovinare un indirizzo email ipotizzandone altri finché non vedono la conferma di averne trovato uno registrato. Uno degli effetti collaterali di questa impostazione del sito è che il modulo per la reimpostazione della password dimenticata non accetta l’inserimento del nome utente.
L’esempio che ho fornito proviene da un sito con questa specifica impostazione disabilitata.
I due esempi che avete fornito provengono da siti con questa specifica impostazione abilitata.
Ecco perché osservate una differenza.
Mi chiedo, in che modo queste informazioni aggiuntive, oltre al fatto che il campo del modulo non accetta un nome utente, avrebbero reso più facile il vostro percorso per recuperare l’account?
@southpaw, sono sorpreso che debba essere così, perché la maggior parte dei siti web aggira questo problema semplicemente non indicando se una richiesta di password sia andata a buon fine. Invece, l’utente inserisce un indirizzo email o un nome utente e, se vede arrivare un messaggio, significa che ha inserito credenziali valide.
Poiché molte istanze di Discourse utilizzano versioni diverse di Discourse, se avessi osservato, su un altro sito, la possibilità di eseguire un reset della password, probabilmente avrei assunto che l’istanza di OpenAI stesse eseguendo una versione più vecchia, senza la parola “nome utente” aggiunta alla stringa. Di conseguenza, mi avrebbe risparmiato questa avventura.
ah sì, è un caso ragionevole… anche se immagino che un servizio di alias email dovrebbe mantenere una registrazione di dove sono stati utilizzati quali alias? Quello di Apple sì, ma non ho esperienza con altri per esserne sicuro.
Forse vale la pena aprire una richiesta di funzionalità per consentire sempre l’uso del nome utente per il reset della password? Se altri stanno riscontrando questo problema, è qualcosa che potremmo prendere in considerazione
Esatto. Se vuoi utilizzare un servizio e continuare a farlo, è tua responsabilità sapere quale indirizzo e-mail hai usato. Se lo dimentichi, dovrai creare un nuovo account. Le alternative sono tutte molto peggiori. Puoi inviare un’e-mail all’amministratore (che non pubblica il proprio indirizzo e-mail, quindi dovrai creare un nuovo account per contattarlo) e dire: “Ehm, ho creato un account con un indirizzo e-mail che non conosco. Non posso dimostrare di esserne il proprietario, dato che non so qual è”. Oppure potresti chiedere: “Ho creato un nome utente secret123, ho dimenticato quale indirizzo e-mail ho usato, me lo puoi dire?”
Se sei abbastanza paranoico da usare indirizzi e-mail casuali, sei abbastanza paranoico da usare un gestore di password che si ricordi le informazioni per te; altrimenti, sei fuori dai giochi.
@pfaffman, non l’ho dimenticato. Piuttosto, OpenAI ha disconnesso in modo caotico la propria integrazione SSO, sostituendola silenziosamente con un indirizzo e-mail ereditato dall’account OpenAI dell’utente, e senza alcuna password associata di default. Come @awesomerobot ha ipotizzato:
…infatti, lo fa (Addy), sebbene, in questo caso, abbia semplicemente utilizzato quello che era ancora associato al mio account OpenAI, nel mio gestore delle credenziali.
@pfaffman, a meno che non fraintenda ciò che potrebbe essere inteso come puramente umoristico, non apprezzo la tua presunzione che ciò sia dovuto a incompetenza, né, soprattutto, che io sia paranoico, per il mero utilizzo di un middleware e-mail.
Per approfondire quest’ultimo aspetto, utilizzo il servizio di alias per la triage delle e-mail, perché lavoro come Soccorriste di Emergenza per St John Ambulance, come Ufficiale di Salvataggio della Guardia Costiera per la HM Coastguard, e sono trustee e membro del comitato per molteplici organizzazioni caritatevoli nazionali e locali (incluso Crimestoppers Trust e Neighbourhood Watch Network), in cui mi interfaccio frequentemente con [l’Ufficio di] Polizia [e Commissario per il Crimine] della contea in cui risiedo. Inoltre, tutto ciò confluisce nella stessa casella di posta in cui arrivano tutti i miei lavori FOSS, le mie comunicazioni personali (come le richieste SAR) e le mie notifiche di sicurezza. Di conseguenza, poter separare le mail per questioni di priorità è incredibilmente importante per me.
Le mie caselle di posta precedenti, prima di utilizzare un servizio di alias, erano sommerse da tentativi di spear-phishing da attori privati e nazionali, entrambi. Da quando utilizzo questo servizio, la possibilità di controllare e analizzare chi ha condiviso quale indirizzo e-mail con chi mi ha permesso di ridurre la quantità di quello spam a appena il 2% di quello che era in precedenza.
Considera che la condiscendenza potrebbe essere una forma di spirito inferiore anche rispetto alla sarcasmo.
@awesomerobot, grazie. Ne ho aperta una:
Sembra davvero un pasticcio.
Sembra che tu abbia un lavoro importante, che coinvolge la privacy e la sicurezza delle altre persone, il che ti dà molte più ragioni per essere paranoico rispetto alla maggior parte di noi. E penso che tutti noi abbiamo motivi per essere paranoici. La maggior parte di noi, secondo l’opinione di un vecchio, è molto meno preoccupata di quanto penso dovrebbe essere.
Il mio punto era che se perdi il controllo del tuo indirizzo email, dovresti aspettarti che sia difficile o impossibile riconnettersi a qualsiasi cosa fosse associata a quell’indirizzo. L’alternativa è che qualcuno possa prendere il controllo del tuo account, indipendentemente dal fatto che tu ne abbia il controllo.
In altre parole, l’unica cosa peggiore del non poter connettersi al tuo account perso è che qualcun altro possa farlo, specialmente se hai un lavoro importante che coinvolge la protezione della privacy delle persone.
Ma forse c’è un modo sicuro in cui potresti recuperare il tuo account evitando che chiunque al mondo possa fare lo stesso. Questo è un problema molto difficile. Forse stai suggerendo una soluzione sicura che non comprendo.
Non intendevo offenderti.
Questa frase fa pensare che gli amministratori abbiano modificato l’impostazione rispetto al valore predefinito. Tuttavia, l’impostazione è attiva per impostazione predefinita: Hiding "e-mail taken" on sign-up by default. Pertanto, a meno che gli amministratori non la disattivino esplicitamente, essa risulta attiva.
È un ottimo punto, che significa anche (ovviamente) che l’inserimento del nome utente è disabilitato di default nello strumento di recupero password. Quindi ora apprezzo ancora di più la richiesta di funzionalità, ma posso votare solo una volta.
@pfaffman, l’utilizzo di un sottoindirizzo IETF RFC 5233, implementato da OnMicrosoft/Outlook e GMail / Google Workspace, provoca lo stesso problema, se non si ha l’indirizzo registrato.
Tuttavia, io lo ho nel mio gestore delle credenziali e il mio aliaser mi permette anche di cercarli:
Aspetta. Mi sono perso il fatto che la schermata di reimpostazione della password non accetti più solo il nome utente. Ha senso solo se le persone stanno molestando gli utenti con richieste di reimpostazione della password, e pensavo ci fossero già dei limiti di frequenza per impedirlo. Mi chiedo quale problema reale questa modifica stesse cercando di risolvere.
E so anche per esperienza che non è così raro che gli utenti di una comunità di lunga data non ricordino più il proprio indirizzo email.
Quindi… la mia tirata su come dovresti sapere con quale indirizzo ti sei registrato è completamente sbagliata. Sono stato maleducato e mi ritratto umilmente.
E ora che penso di capire il tuo problema, e che è creato dai proprietari di una comunità a cui appartieni, apparentemente, apposta. Anche se potrebbe essere in parte colpa delle nuove impostazioni predefinite, penso che quelle persone possano modificare il valore di hide_email_address_taken…
Aspetta. Perché hide_email_address_taken richiederebbe agli utenti di inserire il proprio indirizzo email e non il nome utente? Reimpostare la password con il nome utente non espone un indirizzo email. Questo è il vero problema.
Ci sono diversi livelli a questo problema che non avevo capito. Mi dispiace di essere stato così poco utile.
Ho appena aggiunto il mio. Questa cosa può essere migliorata 
@pfaffman, in realtà sono piuttosto contento che mi abbia costretto a approfondire. La tua confusione equivale alla mia; i nostri processi di pensiero erano identici!
Sebbene comprenda che alcuni utenti potrebbero essere sommersi da richieste di reimpostazione della password, per loro sarebbe fattibile filtrare le richieste in una cartella separata, utilizzando la RFC 5228 dell’IETF sul loro lato, se fossero così sommersi da rendere insufficiente il limite di frequenza.
Ciao,
Potrebbe essere un po’ fuori luogo, ma mi chiedevo se, per questo problema,
nel caso in cui tu dimenticassi la tua email, potessi inserire il tuo nome utente e poi il sistema ti mostrasse l’email associata a quel nome utente? Potrebbe essere un rischio se qualcuno volesse vedere le email, quindi forse potrebbe essere utile hashare l’email, come se io andassi lì e mi chiedesse email/nome utente, poi inserissi ice.d e mi mostrasse l’email associata come jh*nd**@gmail.com[1] o potresti avere un pulsante chiamato “mostra email associate alla community con account da questo I.P” e poi utilizzerebbe l’I.P del dispositivo e se quel dispositivo ha un account sul forum in cui stai cercando di resettare la password, mostrerebbe un’email come j*on***@gmail.com?
Pensate che potrebbe essere utile?
Non è la mia email reale ↩︎
