¿Es una buena práctica (desde un punto de vista de seguridad) enviar a un cliente la contraseña que proporcionó durante el registro por correo electrónico?
¡No, definitivamente no lo es!
¿Cambiamos esto frecuentemente para los clientes?
No. Lamentablemente no lo hacemos. Probablemente deberíamos, pero generalmente es uno de los elementos más bajos en la lista de preocupaciones. En los últimos 5 años, solo recuerdo que un solo cliente preguntó sobre esto. Fue después de recibir un correo electrónico ardiente de un cliente que no estaba muy contento de que le hubieran enviado su contraseña por correo electrónico, y que luego estaba cuestionando la seguridad de haberle dado al sitio su información de CC para realizar un pedido.
Recomiendo encarecidamente hacer este cambio para cualquier tienda nueva. Vale la pena la pequeña cantidad de tiempo, y los supuestos "beneficios" que menciono a continuación no valen los riesgos de transmitir inseguramente la contraseña.
¿Hay beneficios al incluir la contraseña en el correo electrónico de la nueva cuenta?
Sí, los hay (aunque IMO no son realmente beneficiosos). Esto probablemente depende de la demografía del sitio, y desafortunadamente no tengo ninguna estadística aquí, pero la gente pierde las contraseñas. Las personas como yo usan contraseñas únicas para todo y las almacenan en llaveros, pero la mayoría no, sino que las escriben en notas adhesivas, las graban en las computadoras o se las envían por correo electrónico. Un cliente que no puede realizar un pedido porque no puede iniciar sesión es un pedido / cliente perdido o un cliente insatisfecho que un CSR debe ayudar a usar el sitio.
¡Sin embargo, no estoy diciendo que valga la pena el riesgo de seguridad! Es solo una "razón" per-se por qué están en correos electrónicos en primer lugar.
Una gran cosa que entra en juego es el simple hecho de que las personas todavía usan la misma contraseña en muchos lugares diferentes. Por lo tanto, incluso si no importa si una sola cuenta de cliente en su sitio web en particular se ve comprometida, la contraseña se puede usar para comprometer cuentas que podrían ser de naturaleza más sensible. No es que un sitio de comercio electrónico no contenga PII, pero por lo general no contiene el mismo nivel de información confidencial que un banco, por ejemplo.
El riesgo para la tienda individual de comercio electrónico se vuelve mucho más grande (independiente de la polinización cruzada de contraseñas) cuando se almacena la información de la tarjeta de crédito para facilitar el reordenamiento y la compra. Le abre el riesgo de que usuarios no autorizados ingresen a la cuenta, compren con la tarjeta de crédito de un cliente y envíen el pedido a otro lugar.
Qué versión de Magento se está utilizando, en este caso, no importa mucho. Todas las versiones con las que he trabajado (incluida EE 1.13) envían la contraseña de la cuenta del cliente en texto sin formato por correo electrónico después de la creación inicial de la cuenta. Las versiones más recientes no incluyen la contraseña en los correos electrónicos de restablecimiento de contraseña y optan por un enlace que caduque. Pero si restablece la contraseña del administrador, la misma situación, se envía en texto sin formato.
Evitar que la contraseña se envíe en los correos electrónicos de registro de la cuenta es bastante simple y puede hacerse fácilmente desde el administrador de Magento siguiendo unos simples pasos:
Vaya a Sistema> Correos electrónicos transaccionales
Haga clic en el botón Agregar nueva plantilla
En el menú desplegable Plantilla, elija "Nueva cuenta"
Cargue la plantilla en el formulario haciendo clic en el botón Cargar plantilla
Busque la siguiente línea de código en la plantilla y elimínela:
<strong>Password</strong>: {{htmlescape var=$customer.password}}<p>
Edite la copia en la plantilla para reflejar mejor la naturaleza del correo electrónico. Partes de la plantilla predeterminada (Ej .: "valores siguientes") no tendrán sentido sin la contraseña presente ...