To autologin or not to autologin?

[dennisgorelik]

At PostJobFree we are sending out multiple emails.
For example, job search alertsThese emails have links, and these links allow us to track users

Comments

[yostrov]

Allow auto-login, but ask for password in case of any action with access to personal data.
For example, allow search, but not open profile.

[dennisgorelik]

What if job seeker wants to apply for a new job - should we allow job seeker to rely on autologin or should we require user to enter a password?

[yostrov]

Yes, if no changes in resume made.

[dennisgorelik]

Why do you think we should require explicit login if user wants to update their resume?

Even if resume was updated or wiped out - it's easy to re-post it again and fix the damage, right?

[occam_aga]

Вместе с линком можно присылать кликабельную картинку с надписью "View alert". Автологинить только если зашли с картинки, с IP, с которого картинку загрузили самый первый раз и только в течении нескольких минут после каждой загрузки картинки с первого IP и только 1 или 2-3 раза.

Присылать две картинки, с автологином и без, вторую такую, чтоб ее не форвардили, не знаю, надпись там приделать "personal link" или еще чего.

А вообще, нет конечно, нельзя так делать.

[dennisgorelik]

> Автологинить только если зашли с картинки, с IP, с которого картинку загрузили самый первый раз

А что если эту картинку загрузил Gmail server.
А у самого пользователя IP - другой.
Не разрешать автологин?

> в течении нескольких минут после каждой загрузки картинки

Вот это интересное предложение.
Но и здесь есть проблема: иногда autologin будет работать, иногда не будет (если пользователь слишком долго созерцал email прежде чем нажать на какой-то линк).
Link behavior would be not idempotent.
At least partially.

> надпись там приделать "personal link"

Очень многие пользователи не читают предупреждения, а потому что им ни пиши - всё равно отправят свой autologin link кому-нибудь.
Даже те, кто читают или просто знают, что так делать нельзя - всё равно по ошибке отправляют свой email кому-то.
Я лично отправил autologin линк от своего аккаунта знакомой рекрутёрше.
С тех пор мы отлючили autologin в email-ах для рекрутеров.

[krech]

Игры с картинками и айпишниками - еще плохи с точки зрения использования юзером разных устройств. Т.е. прочитав письмо в первый раз на одном устройстве - он не сможет автологиниться по ссылкам с другого устройства.

Таким образом пропадает половина смысла от автологина.

[occam_aga]

Всё это небольшие шажки в сторону секьюрности с небольшой расплатой удобством. Да, 100% защиты эти шаги не дадут, но немного ее улучшат. Чтобы выбирать какие из них стоит делать, а какие нет, надо собирать статистику. Возможно дольше 1-й минуты е-мэйл созерцают только 0.0001 пользователей. Возможно, 99% сценариев это открыть е-мэйл, посмотреть что там за алерт и закрыть вебстараницу с алертом, тогда автологин вообще не нужен.

[ex_juan_gan]

Send them a fast-expiring confirmation, big deal.

[dennisgorelik]

We already have account recovery email.
Account recovery:
1) Is sent by user request only (not routinely with every job alert).
2) Expires in 1 hour.

But that is too complex for many job seekers (only minority of job seekers are programmers).

The question is - should we include autologin functionality into regular job alert email?

[ex_juan_gan]

У меня ответа нет, но тут был хороший ответ про картинку. Правда, не всегда сработает.

[dennisgorelik]

Картинки мы используем, но они могут загружаться с совсем другого IP (e.g. Gmail server):
http://dennisgorelik.livejournal.com/82378.html?thread=1322442#t1322442