Zitat von
Matze:
1. "Passwort vergessen" anklicken
2. Name + E-Mail muss eingegeben werden
=> Benutzer erhält eine E-Mail, in der er über einen Link bestätigen muss, dass er es ist. Daraufhin erhält er eine 2. E-Mail mit dem neu generierten Passwort.
Was aber, wenn die 2. EMail nicht zugestellt werden kann ? (z.B. EMail Account voll)
Dann ist Passwort geändert und der Benutzer muss nochmal durch die ganze Prozedur.
Ich denke mein Vorschlag hat den Vorteil, dass nur einmal eine Mail verschickt wird und keine weitere Aktionen nötig sind.
Programmierseitig fällt auch nur ein geringer Aufwand an: 2 weitere Felder (Passwort2 & Passwort2ExpireDateTime) in der Usertabelle und eine kleine Änderung in der Loginprozedur.
Allerdings sind beide Verfahren wohl wasserdicht.
Und dann werfe ich noch ein drittes Verfahren in den Ring:
1. "Passwort vergessen" anklicken
2. Name + E-Mail muss eingegeben werden
3. Benutzer erhält eine EMail mit einem Link, der direkt zu einem New-Passwort-Dialog führt.
Er muss zweimal sein neues PW eingeben und ist dann angemeldet.