Emailing a one-time code is worse than passwords
Слишком многие сервисы используют такой вход:
- Введите email или телефон
- Сайт отправит 6‑значный код
- Введите код для входа
Пожалуйста, прекратите.
Почему это плохо для безопасности:
- Злоумышленник может отправить ваш email на легитимный сервис и заставить вас ввести присланный код в фишинговой форме. Вы не можете быть уверены, где именно нужно вводить код. Менеджеры паролей тут не помогают.
- Этот метод реально эксплуатируется: вход Microsoft для аккаунтов Minecraft использует такие коды, и уже множество аккаунтов было украдено (есть подтверждения на Reddit и YouTube, а также в документации Microsoft).