chronomaster Aug 12 2015 at 12:25

Проверять или не проверять — вот в чём вопрос

4 min

27K

Content AI corporate blogInformation Security*Web services testing*

+21

Comments 43

rekby Aug 12 2015 at 12:41

Если проверять, то зачем использовать списки доменов:
1. Это найдет только опечатки для доменов верхнего уровня
2. Да, за этим надо отдельно следить.

Думаю надежнее проверять MX-запись домена, который указал пользователь и (возможно) попробовать подключиться туда.
При желании можно начать smtp-сессию и попробовать проверить левую часть адреса тоже: www.lissyara.su/articles/freebsd/mail/smfsav

Это заметно надёжнее, чем искать опечатки.

UFO just landed and posted this here

chronomaster Aug 12 2015 at 12:59

Если проверять, то зачем использовать списки доменов?

В статье проповедуется подход не запрещения, а предупреждения. Если тупая проверка на *.con убирает 50% опечаток, то её стоит сделать.

Проверять только MX-запись (без левой части) бессмысленно, т.к. опечатка может быть везде. Идея проверять smtp-сессией не приходила в голову, скорее всего это «идеальный вариант» для большинства пользователей, если опечатка не ведет в соседний ящик.

Ну и доступность почтового сервера отдельный вопрос, как указали выше.

rekby Aug 12 2015 at 14:02

Проверять только MX-запись (без левой части) бессмысленно, т.к. опечатка может быть везде.

Проверка по MX дает точность больше, чем проверка по доменам верхнего уровня.
Например проверка по доменам верхнего уровня не найдет ошибку в user@gmaik.com, а проверка по MX найдет. При этом если не подключаться к серверу, то его доступность значения не имеет (DNS сервера обычно работают заметно надежнее, чем сам сервер).

При этом конечно оба не заметят ошибки при пользователь напишет user@gmai.com — потому что такой домен есть и mx-запись у него тоже есть и скорее всего это мошенники.

chronomaster Aug 12 2015 at 14:33

я, видимо, криво написал.
Моё мнение такое, что все ошибки не исправить, поэтому не надо сильно парится при проверке. Но самые частые можно и предупредить.

-1

kekekeks Aug 12 2015 at 16:03

Сервисы типа mail.ru не дают проверять левую часть.

UFO just landed and posted this here

kekekeks Aug 14 2015 at 09:26

Теперь попробуйте туда вбить несуществующий email. Или это у gmail/yandex такая проблема была. Надо перепроверить.

UFO just landed and posted this here

kekekeks Aug 14 2015 at 09:34

Похоже, моя информация устарела. Прошлой осенью mail.ru отвечал на все такие запросы успешно.

UFO just landed and posted this here

kekekeks Aug 14 2015 at 09:35

mail.ru раньше принимал почту успешно, а потом делал bounce с руганью на левый адрес.

kekekeks Aug 14 2015 at 09:37

ru.stackoverflow.com/questions/187642/%D0%9F%D1%80%D0%BE%D0%B2%D0%B5%D1%80%D0%BA%D0%B0-e-mail-%D0%BD%D0%B0-%D1%81%D1%83%D1%89%D0%B5%D1%81%D1%82%D0%B2%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5#comment187990_187663 — пруфлинк от 2013-го года.

UFO just landed and posted this here

gurux13 Aug 12 2015 at 13:56

Меня больше всего раздражает даже не подтверждение email, а необходимость его дважды вводить. А потом всё равно подтверждать!
Мне кажется, у большинства пользователей стоит автозаполнение поля email (мне хром автоматом подсказывает, хотя я это не настраивал). Но только, черт побери, для первого поля ввода email, для поля «повторите ввод email» приходится делать copy-paste.

И вопрос — нет ли у вас статистики о том, сколько email не было подтверждено никогда (которые можно считать ошибочными)? Это, конечно, имеет смысл только для ресурсов с политикой типа (1) проверка обязательна, пока пользователь не подтвердит e-mail ничего делать нельзя. Для второй политики не так интересно, но тоже может быть полезно.

Спасибо за интересную статистику и статью!

chronomaster Aug 13 2015 at 12:00

И вопрос — нет ли у вас статистики о том, сколько email не было подтверждено никогда

В данном сервисе подтверждение email не требуется. Валидный email нужен на случай, если будет забыт пароль.

mdaemon Aug 12 2015 at 14:00

Я бы еще проверку а ля gmail.ru добавил, пару раз по запарке такой адрес вводил…

chronomaster Aug 12 2015 at 14:31

Я так тоже делал, но с тех пор как у самого появился адрес на gmail — перестал.

mdaemon Aug 12 2015 at 14:34

у меня есть адрес и на mail.ru и на gmail.com.

chronomaster Aug 12 2015 at 14:43

у меня на inbox.ru, поэтому и нет проблемы %)

+ немного статистики по русским доменам:

mail.ru — 50%
yandex.ru — 25%
inbox.ru/bk.ru/list.ru — по 5% каждый

от всех доменов в .ru

Borz Aug 12 2015 at 15:20

но ведь ящик и на "@gmail.ru" может быть

chronomaster Aug 12 2015 at 15:24

Им не повезло. А зачем нам неудачники?

Не запрещать, а предупреждать. В этом секрет.

domix32 Aug 12 2015 at 14:02

(см., например, habrahabr.ru/company/yandex/blog/180355)

Что мешает автору сделать текст ссылкой?

chronomaster Aug 12 2015 at 14:30

например то, то что у автора он ссылка?
по крайней мере в Chrome/IE

domix32 Aug 12 2015 at 15:16

Я имел ввиду оформлять текст таким образом

(пример)

а не как сейчас. Писать url в посте странно. Если конечно это не пост про url

chronomaster Aug 12 2015 at 15:22

Невнимательность мешает, и немного любовь видеть, куда тебя посылают.

KoGor Aug 12 2015 at 16:07

Бонусная статистика крутая у вас! Не подскажите, как вы создавали эту круговую диаграмму, исходя из имеющихся данных:

65% всех пользователей сервиса зарегистрированы в домене .com;
41% всех пользователей сервиса использует gmail.com в качестве адреса электронной почты;
25% всех пользователей сервиса зарегистрированы в домене.ru;
17% всех пользователей имеют уникальные для данного сервиса домены?

А то очень интересен ход мыслей её создателя. Даже если закрыть глаза на то, что сумма процентов больше 100%, а «gmail.com» является подкатегорией ".com", как получилось что сектор gmail больше?

P.S. Для полного счастья ещё не хватает трёхмерности всего происходящего и слегка выезжающего сектора.

chronomaster Aug 12 2015 at 16:12

.ru = 25%
gmail.com = 41%
.com = 65% - gmail.com
others = 100% - (gmail.com + .com + .ru )

а 17% в диаграмме не участвует :)

Lopar Aug 12 2015 at 17:16

Логичнее было бы: ru, com, others, а gmail — подмножество com.

ilnuribat Aug 12 2015 at 18:29

ещё вариант:
вместо .com — «остальные .com»

achekalin Aug 12 2015 at 18:26

Добавим к этому предел маразма: по два поля для ввода email-а и пароля:

E-mail: [__________]
Еще раз email: [__________]
Пароль: [__________]
Пароль еще раз: [__________]

Пароль при этом закрывается звездочками, и при сабмите формы она злорадно возвращается юзеру с припиской «Одно из полей не совпадает с другим».

По мне, так делаем поля для эл. почты, и ВСЕ! На почту присылаем пароль. Нет пароля — нет ввода. И, по уму, еще диагностику: «мы попробовали отправить вам письмо, но ваш почтовый сервер ответил „550 No spam here“». И письмо отправлять сразу, а не как иные особо озадаченные жизнью сервисы, «в течении получаса на ваш ящик придет письмо».

aleksandy Aug 12 2015 at 19:14

Я бы не стал доверять сервису, пересылающему пароли в письме. В письме должна быть ссылка на защищённую страницу, на которой я этот пароль могу задать.

Kalobok Aug 12 2015 at 21:34

И если адрес случайно оказался неправильным, ваш пароль сможет задать совершенно посторонний человек.

Правильный способ: человек указывает адрес и пароль, ему посылают запрос на подтверждение адреса (при подтверждении или для логина сразу после подтверждения обязательно спрашивать пароль). Если ответ на запрос не получен в течение короткого времени (день-неделя), вся информация удаляется.

От сторонников остальных вариантов я постоянно получаю письма с чужими паролями, логинами, личными данными, документами и т.п. Поубивал бы.

Accetone Aug 12 2015 at 23:55

Как вариант, пользователь вводит только email, а по ссылке из пришедшего email заполняет и пароль и остальную необходимую информацию.

Kalobok Aug 13 2015 at 00:00

Ну, или так. Главное — не давать доступа к информации по одному только адресу.

catharsis Aug 13 2015 at 01:28

Но ведь доступ все равно будет по восстановлению пароля через почту.

Kalobok Aug 13 2015 at 03:03

Вот поэтому и надо хотя бы один раз убедиться, что почта принадлежит правильному человеку.

chronomaster Aug 13 2015 at 12:04

Даже если это регистрация в интернет магазине?
Мы вам перезвоним сразу после подтверждения адреса электронной почты.

Kalobok Aug 13 2015 at 15:52

Не понял, чем магазин принципиально отличается от всего остального?

chronomaster Aug 13 2015 at 16:14

Потому что я хочу заказать товар, и не хочу лезть в папку спам и искать письмо со ссылкой. Или ждать письма. Я хочу, чтобы мне позвонили, а для этого e-mail не нужен.

Kalobok Aug 13 2015 at 16:22

Тогда вам просто не нужно регистрироваться. В нормальных магазинах должен быть гостевой режим — заказал, оплатил, ушел навсегда. Письмо при этом отправить можно, но с минимумом информации — «ваш заказ готовится/отправлен» и все. Даже если упадет в спам или уйдет другому человеку, ничего страшного не произойдет.

Про звонок не понял — может, российские магазины работают не так, как в других странах. Зачем нужно звонить?

chronomaster Aug 13 2015 at 16:25

Про звонок не понял — может, российские магазины работают не так, как в других странах. Зачем нужно звонить?

Для подтверждения заказа. Иногда (часто) ты можешь положить в корзину то, чего нет.

Kalobok Aug 13 2015 at 16:29

Ну так мылом и ответить — автоматически, дешевле, быстрее. Не нужны люди для обзвона, не нужно ловить момент, когда клиент ответит. Еще лучше прямо при покупке указывать, какой товар есть в наличии, но это уже сложнее организовать.

А телефон человек может указать неправильно с той же вероятностью, что и почту.