Node.js Şifre Sıfırlama E-postasında Delil Tutarlılığı

Bir oyun hizmetinde şifre sıfırlama e-postası gönderdiğinde, asıl mesele sadece API'ye çağrı atmak değil. Kullanıcı daha sonra "Ben bu e-postayı almadım" dediğinde ne kanıt göstereceksin?

Darian Reed'in yazısında anlatılan yaklaşım şu: E-posta servisi (SendGrid, AWS SES, vb.) seçerken, gönderme olaylarını dışa aktarabilecek bir API ara yüzü kullan. Sonra kendi sisteminde bir adapter kat ve tüm kaydı kendine sahibi ol.

Önemli olan şu detaylar: İstek kimliği (request ID), şablon versiyonu, alıcı e-posta, token süresi bitişi (expiry), sağlayıcı yanıtı ve daha sonra gelen teslim olayları. Bunların hepsi bir veritabanında tutulmalı. E-posta geç gelebilir ama token zaten ölü olmalı.

Pratik olarak küçük, değiştirilebilir bir adapter kurup bunu bir kuyruk (queue) arkasına koy. SPF ve diğer kimlik doğrulama politikaları deployment kanıtı olarak kaydet. Asıl soru şu: Hesap sahibi bir sıfırlamayı itiraz ettiğinde, sadece "gönderme başarılı" yanıtı yeterli mi? Hayır. Hangi sayfaya yönlendirildi, token ne zaman kullanıldı, kim tarafından, hangi IP'den, bunlar gerekli.

Bu yaklaşım siber güvenlik ve adli bilişim açısından çok önemli. Bir hesap ele geçirilmesi durumunda, sıfırlama zincirinin tamamını inceleyebilmen lazım. E-posta servisi sağlayıcısına bağlı kalmak yerine, kendi kaydını tutman daha güvenli ve kanıtlanabilir.