¿Cómo implementaría un campo de inicio de sesión seguro en un sitio web de alto tráfico donde el rendimiento es una consideración?

Muchos sitios y bancos grandes solían poner su formulario de inicio de sesión directamente en su página de inicio no segura. Afortunadamente, muchos (incluido Bank of America – Banca, tarjetas de crédito, hipotecas e inversiones y banca comercial ) han cambiado a un método más seguro del que podemos aprender. Incluso si vamos a su página de inicio con http, lo reenvía a una página https. En combinación con un certificado SSL EV que muestra la inconfundible “barra verde”, la posibilidad de un ataque de hombre en el medio / phishing es prácticamente inexistente.
Básicamente, hay dos opciones para crear un formulario de inicio de sesión seguro:

  • Cree una página de inicio de sesión separada a la que solo se pueda acceder con https y (por supuesto) envíe mediante https
  • Siempre aplique https en la página de inicio e incluya el formulario de inicio de sesión allí. Esto hace que sea más conveniente iniciar sesión y más seguro porque los usuarios tienen más probabilidades de marcar la página de inicio de https que una página de inicio de sesión separada.

Ahora hay varias alternativas que le permiten autenticar de forma segura a los usuarios sin tener que hacer el trabajo usted mismo:

  • Facebook Connect . Prácticamente todos tienen una cuenta de Facebook y Facebook ha facilitado la autenticación de usuarios con su nombre de usuario y contraseña de Facebook. La autenticación se realiza en el propio sitio de Facebook (debidamente protegido con SSL), por lo que es completamente seguro y significa que los usuarios no tienen que recordar otro nombre de usuario y contraseña solo para su sitio.
  • OpenID . Similar a Facebook Connect, OpenID permite a los usuarios autenticarse en otro sitio y hay muchos servicios OpenID disponibles ahora, aunque no es tan popular como Facebook.
  • Twitter Twitter también ofrece una API que permite a sus usuarios iniciar sesión de forma segura en su sitio utilizando su cuenta de Twitter.

Es posible que desee considerar no implementar el mecanismo de inicio de sesión (la parte de almacenamiento / verificación) y descargarlo a los conectores de inicio de sesión social (Google, Facebook, …)

Hay dos métodos
Primero es usar conectores sociales como iniciar sesión con Facebook, Google, etc.
Y segundo es usar certificados SSL para un inicio de sesión seguro.

SSL hace que los sitios sean más lentos, pero simplemente haga que el inicio de sesión SSL sea seguro, no todo el sitio.