システム仕様 アカウント作成後に自動ログインさせてよいものか

Question

アカウントを作成しログインを要求するシステムを開発しているのですが、
アカウント作成後の挙動について悩んでいます。

1. メールアドレス仮登録
2. 送信されたメールアドレス記載のURLから登録ページを表示
3. 登録ページでパスワードなど情報入力しアカウント登録

上記の後、ログインページを表示しようと思っているのですが、
そのままログイン後のページに進むべきではないかとチーム内で質問がありました。

アカウント作成後にログインページを表示するサービスが多いイメージなのですが、
登録後そのままログインさせてはいけない理由などはあるのでしょうか？
セキュリティ的なリスクなどあればお教えいただければと思います。

Answer 1

状況によるとしか言えませんが、リスクが増加した例を以前ブログに書きましたので参考にしてください。

ビックカメラ.COMでメールアドレスを間違えて登録したらどこまで悪用されるか検討した

この記事に以下の項があります。

(3)会員登録と同時にログイン状態となる

Comments

[otn]

> 送信されたメールアドレス記載のURLから登録ページを表示
と、ちょっと日本語がおかしい物の、おそらくメールアドレス確認後の会員登録なので、
（「送信されたメールに記載のURLから登録ページを表示」の書き間違いでしょう）
仮登録時に名前などを入力させていない限り、該当しないのではないでしょうか？

[ockeghem]

ありがとうございます。ぴったりあてはまるわけではありませんが、「そのままログイン状態となる」場合にリスクが生じるケースがある例として紹介したものです。

[mameno]

ockeghem様
回答ありがとうございます。
ブログの記事拝見させて頂きました。
メールアドレスの誤入力とそこから派生した問題でしたので、
メールの受信確認から始めている今回のシステムでは当てはまりませんが参考になりました。

> 状況によるとしか言えませんが
そうですね。
アカウント作成→自動ログイン
のほうがユーザビリティが高いのではないかと聞かれ、
そのリスクも自動ログインさせない理由も思い当たらず質問させて頂きました。
特にリスクがなければユーザビリティを優先しても良いのかと考えています。

otn様
ご指摘通り「送信されたメールに記載のURLから登録ページを表示」の書き間違いです。
ご指摘ありがとうございます。