パスワード変更用のURLを明示すためのwell-known URL for Changing Passwordsという仕様について

作成日 2023-05-31 更新日 2023-06-02 author @bokken_ tag well-known, appsec はじめに パスワード変更のためのURLを示すための、A Well-Known URL for Changing Passwords という仕様が存在する。¶ この仕様は主にクライアントサイドのパスワード管理ツールで使われる想定の仕様だ。¶ 本記事ではこの仕様がどういうものか、どういった利点があるのかについてまとめる。¶ パスワード管理ソフトとその課題 パスワード管理ツールはクロスサイトでのパスワードの再利用を防いだり、オートフィルをしてユーザビリティを高めてくれる良いツールだ。 ブラウザにもパスワード管理ツールが搭載されていたり、有名どころでは1PasswordやBitwardenのようなツールがある。¶ これらのツールの中にはパスワードの強度を教えてく

[digitalmatic]

iPhoneのパスワード管理画面で「webサイトのパスワードを変更」っていうリンクがあって、何だろと思って押したらそういうURLに飛んだので知ってた

[tmatsuu]

へー意外と使ってるドメインあるのねという印象。というよりも存在自体を知らなかったので、同様に知らないwell-known URLが他にもありそうだ

[theatrical]

流行って欲しさはあるが、あまりユーザー受けしそうにないし対応の優先順位は上がらないだろうと言う気もする。

[cl-gaku]

面白そう！

[indication]

へぇ～

[cateiru]

:hee:

[dorapon2000]

“具体的に、A Well-Known URL for Changing Passwordsで実施することは/.well-known/change-passwordをserveして、リダイレクトするだけである。”

[mom0tomo]

知らなかった

[satohu20xx]

へー、しらなかった

[napsucks]

知らなかった

[june29]

へぇ、知らなかった。

[deep_one]

それはそれで「攻撃されそうだな」って思ってしまう（笑）／まぁ攻撃者はURLをちゃんと調べるからあんまり変わらんか。

[otchy210]

URL から推察するに、パスワード変更画面以外にもログイン画面とかプライバシーポリシーにも広げていく感じなのかな？

[koluku]

ho-

[mohritaroh]

おもしろい。そういう仕様があるのか

[takeshi]

知らなかった。対応しよう。

[KoshianX]

へー、こんなのあったのか。リダイレクトするだけでいいし対応も簡単で良いね