proto.lib

Luồng đặt lại mật khẩu (Forgot Password)

Server tạo token đặt lại mật khẩu dùng một lần, ngẫu nhiên an toàn, có hạn sử dụng, lưu dạng băm và gửi qua email; sau khi đặt mật khẩu mới, token và các phiên đăng nhập cũ bị vô hiệu hóa.

SecurityCơ bản2026-07-07
Luồng đặt lại mật khẩu (Forgot Password)

Tags

#password-reset#token#email#session-invalidation#authentication

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityCơ bản

Xác thực OTP qua Email/SMS

Server sinh mã OTP ngẫu nhiên ngắn hạn, lưu bản băm kèm TTL và bộ đếm số lần thử, gửi cho người dùng rồi xác minh mã nhập vào, chống brute-force.

#otp#2fa#email#sms
SecurityTrung bình

Bề mặt tấn công của Account Recovery

Kẻ tấn công không phá được passkey hay MFA sẽ nhắm vào luồng khôi phục tài khoản — social engineering với support, email dự phòng cũ, số điện thoại bị tái cấp; recovery phải được bảo vệ ít nhất bằng độ mạnh của phương thức đăng nhập chính, không phải một cửa hậu yếu hơn.

#account-recovery#social-engineering#phone-recycling#support-impersonation
SecurityTrung bình

Host Header Injection

Ứng dụng tin tưởng header Host để dựng URL tuyệt đối (vd link reset password), cho phép attacker chiếm quyền qua domain giả mạo.

#host-header#password-reset#web-cache#input-validation