Fluxos de redefinição de senha que não vazam contas nem tokens

Objetivo

Permitir que um usuário que perdeu a senha recupere o acesso, sem dar a um atacante a chance de tomar a conta nem de descobrir quais endereços estão cadastrados.

Pré-requisitos

Senhas armazenadas como hashes lentos e com salt; um meio de enviar e-mail (ou outro canal lateral) controlado pela aplicação; um limitador de taxa capaz de contar por conta e por endereço de origem.

Passos

1. Aceite o formulário de solicitação para qualquer entrada. O cheat sheet da OWASP (citado) pede uma mensagem consistente para contas existentes e inexistentes, além de um tempo de resposta consistente; faça o mesmo trabalho nos dois ramos, em vez de retornar mais cedo.
2. Aplique limite de taxa às solicitações por conta e por origem, para que um atacante não consiga inundar a caixa de entrada da vítima nem tentar tokens por força bruta.
3. Gere o token com um gerador aleatório criptograficamente seguro, longo o bastante para impedir adivinhação, vinculado a um único usuário e com expiração curta; armazene apenas o hash dele, como se faz com uma senha. Tokens assinados, como JWTs, são possíveis, mas trazem seus próprios modos de falha.
4. Monte a URL de redefinição a partir de uma origem configurada, nunca a partir do cabeçalho Host da requisição, para que um cabeçalho adulterado não possa redirecionar o link para o domínio de um atacante. Use HTTPS.
5. Sirva a página de redefinição com Referrer-Policy: no-referrer, para que o token presente na URL não vaze para recursos de terceiros, e aplique limite de taxa também ao endpoint do token.
6. Não altere nada na conta até que um token válido seja apresentado: nem bloqueio, nem flag, nem troca de senha.
7. Com um token válido: exija a nova senha duas vezes, aplique a política de senhas habitual, grave a senha, invalide o token e invalide as outras sessões ou ofereça essa opção. Não autentique o usuário a partir da página de redefinição; encaminhe-o ao login normal.
8. Envie uma notificação de que a senha foi alterada (sem incluir a senha). Mantenha um caminho para usuários que não controlam mais o canal lateral, como um contato de suporte com verificação.

Resultado esperado

Quem solicita a redefinição não consegue distinguir a resposta para um endereço desconhecido da resposta para um endereço conhecido; um link capturado expira rápido e funciona uma única vez; uma injeção no cabeçalho Host ou um vazamento via referrer não rende nada utilizável.

Limites e base de verificação

Segue o cheat sheet citado; nenhuma medição é alegada. PINs por SMS (de 6 a 12 dígitos, enviados por um canal lateral) trocam o tamanho do token por uma sessão limitada, que só pode redefinir a senha. Perguntas de segurança, sozinhas, não são um método de recuperação. Contas com MFA precisam do caminho de recuperação de MFA, não deste.