Comment sécuriser un lien HTML statique

Question

La société pour laquelle je travaille veut fournir un moyen de permettre à notre client de fournir des liens vers notre site afin de permettre à ses propres clients de planifier un paiement à travers nous.

Nous voulons que la solution soit aussi simple et facile à utiliser que possible. Nos clients n'auront probablement pas la possibilité de programmer nos scripts de leur côté et nous voulons simplement leur fournir un lien qu'ils pourront utiliser pour identifier de manière fiable les clients qui ont envoyé cette personne sur notre site Web. J'ai d'abord pensé à utiliser simplement la chaîne de requête pour transmettre leur identifiant unique en tant que paramètre. Nous allons générer ce lien pour eux et même héberger une image pour cela sur nos propres serveurs. Nous ne voulons pas que leur numéro d'identification soit accessible aux observateurs et nous ne voulons pas que nos clients fassent leurs propres liens. La seule solution que nous ayons trouvée est de crypter simplement notre identifiant local avec un horodatage, de stocker l'événement de création dans notre base de données et d'utiliser cette information pour vérifier la valeur cryptée fournie dans la chaîne de requête quand nous obtenons des résultats sur notre site Cela empêche les fuites de données (pour autant que nous sachions) mais n'empêche personne de copier le lien et de l'utiliser n'importe où (mais nous voulons vraiment que nos clients puissent le coller n'importe où et juste travail). Faisons-nous des compromis importants en termes de sécurité pour la facilité d'utilisation? Devrions-nous simplement créer un compte que tout le monde utilisera chez notre client pour au moins faire respecter l '«idée» de sécurité (une connexion partagée pour tous ses clients n'est pas très sûre, n'est-ce pas?)

En fin de compte, notre objectif est d'en faire un processus rapide et transparent. Devons-nous sacrifier la sécurité pour la rendre rapide et transparente?

Answer 1

C'est ce que je ferais,

1. signe le lien avec un secret si personne ne peut faire un lien au hasard.
2. Ajoutez un paramètre pour identifier le site partenaire.
3. Configurer une liste de référents autorisés pour le site.
4. Dès réception de la demande, vérifiez la signature et appliquez le référant.

Ceci n'est pas super sécurisé mais répond à la plupart de vos besoins.