fml8 チュートリアル (バージョン 7.99.1-20180910)
Prev | Chapter 10. CGI の設定 | Next

# 一般ユーザ用 CGI

fml8 を使ったＭＬへの入会/退会(subscribe/unsubscribe)は、 もともと メールベースのシステム です。

このコマンドメールによる入会/退会(subscribe/unsubscribe) の最初のフェイズだけは CGI でも出来るようにしました。

CGI だけで入会/退会が出来るとセキュリティ面でもよろしくないので、

    (1) 最初だけは CGI から申請、
    (2) メールで confirmation を送る、
    (3) メールで confirmation が返ってきたら OK

としています (もちろん、これ以上 HTTP をつかった高度なものにする予定もありません)。

何のことはない、最初のところが「subscribe というメールを出して下さい」 から「この CGI でメールアドレスを入力して下さい」に変わっただけですね？

なお、この CGI には、SPAM よけの”おまじない”として、メールアドレスを 魔法の文字列の２つをセットで入力してもらうようにしてあります。 「ゆがんだ文字列を認識できるのは機械ではなく人間に違いない」 (image verification)です。

ま、気休めですけどね。 どうせ、このあとメールによる confirmation もあるので、 このおまじないの精度は気にしないでください。

しょせん CGI など、 メールによる confirmation システムの wrapper にすぎないという位置付けです。 CGI 単体では動作させません。 そのため、一般ユーザ用の CGI は、 すべてのこの image verification で申請を出してもらうようにして、 パスワード認証などといった面倒なシステムは廃しています。

## 議論: 一般ユーザ用パスワード認証は、どうなのか？

ユーザにパスワードを入れさせるＭＬシステムもありますが、 私はパスワードを覚えていたためしがありません。 あんな仕様は危ないだけです。

一般ユーザがＭＬ関連の操作をすることは数カ月から数年に一回しかありません。 だから、パスワードを設定しても次回まで覚えていることがないのです。

また、そういったシステムでは、パスワードを忘れた場合に再送を依頼すると、 メールで平文パスワードが送られてきたりする始末です。 分かりにくいパスワードといえど、 たいてい個人情報を元にした連想だったりします。 パスワードが平文でやりとりされるのは単体で危険といえるばかりでなく、 それ以外のシステムへの危険性を増します。

毎日つかうようなシステム [1] でないかぎり、パスワード認証法はセキュリティホールを作るだけです。

### Notes

[1] | もちろんパスワード認証システムは、 定期的に変えるよう強制もされることが望ましい。

Prev | Home | Next
管理用 CGI スキンの選択 | Up | apache の設定

fml 8.0 (fml-devel) project homepage is www.fml.org/software/fml8/.
fml 4.0 project homepage is www.fml.org/software/fml4/.
about one floppy bsd routers, see www.bsdrouter.org/.
other free softwares are found at www.fml.org/software/.

author's homepage is www.fml.org/home/fukachan/.
Also, visit nuinui's world :) at www.nuinui.net.

For questions about FML, e-mail <fml-bugs@fml.org>.