שחזור סיסמה באפליקציות מובייל: אבטחה וחוויית משתמש

השקתם אפליקציה. משתמש שכח את הסיסמה שלו, לחץ על "איפוס", קיבל אימייל עם קישור — ומיד נתקל בשגיאה: האפליקציה לא נפתחה. ה-scheme המותאם אישית נכשל באימות, ונתקע ב-Safari. תרחיש זה מוכר לכל מי שמתמודד עם שחזור סיסמה לא מאובטח. לפי OWASP, ל-80% מהאפליקציות יש פרצות בתהליך איפוס הסיסמה. העלות הממוצעת של פרצת מידע היא 4.45 מיליון דולר (IBM Cost of Data Breach).

במשך יותר מ-5 שנים, סיפקנו יותר מ-20 פרויקטי אימות. ב-9 מתוך 10 מקרים, מצאנו לפחות פרצה אחת: חשיפת משתמשים (user enumeration), קישורי deep link לא בטוחים, הגבלת קצב חלשה. כל פרויקט מתחיל בבדיקת התהליך הקיים — אנו דנים בדרישות, באיומים ובטכנולוגיות.

חשיפת משתמשים: איך לא להדליף מידע על חשבונות

הטופס "הזן אימייל" לעולם לא צריך לחשוף אם הכתובת רשומה. ההודעה "אם האימייל רשום, נשלח קישור" היא האפשרות הבטוחה היחידה. כל וריאציה ("משתמש לא נמצא", "האימייל כבר קיים") היא חשיפת מידע. OWASP Forgot Password Cheat Sheet אוסר זאת במפורש.

הודעה אחידה לכל המקרים היא חובה. אנו גם מוסיפים עיכוב אקראי בצד השרת (0.5–2 שניות) כך שהתקפות timing לא חושפות הבדלים. זה מפחית את הסיכון ב-90%.

למה הגבלת קצב בצד הלקוח חשובה

כפתור "שלח שוב" חייב להיות חסום למשך 60–120 שניות. בלעדיו, תוקף יכול להציף את האימייל של המשתמש במאות הודעות בדקה. אנו מיישמים ספירה לאחור המסונכרנת עם המגבלה בצד השרת (3 ניסיונות לשעה). זה מפחית את עומס השרת ב-40%.

איך להגן על קישורי deep link מפני יירוט

קישור כמו myapp://reset-password?token=xyz — ללא הגדרת App Links עם Digital Asset Links, כל אפליקציה יכולה ליירט אותו. אנו משתמשים ב-HTTPS Universal Links (iOS) וב-HTTPS App Links (Android). הגדרת Associated Domains + apple-app-site-association / assetlinks.json היא חובה. בלעדיה, התהליך חשוף לפישינג וגניבת טוקנים.

תהליך שחזור הסיסמה הראשי

1. המשתמש מזין אימייל → כפתור "איפוס" (מושבת עד להזנת אימייל תקין).
2. בקשה לשרת → הצגת "בדוק את תיבת הדואר" (זהה לכולם).
3. האימייל מכיל קישור עם טוקן חד-פעמי ו-expires_in (15–60 דקות).
4. המשתמש לוחץ על הקישור → האפליקציה נפתחת דרך Universal/App Link.
5. טוקן מה-URL → מסך "סיסמה חדשה".
6. המשתמש מזין סיסמה פעמיים (או פעם אחת עם כפתור "הצג").
7. שליחת PATCH לשרת עם טוקן + סיסמה חדשה.
8. הצלחה → כניסה אוטומטית (access + refresh tokens) → מסך ראשי.

טיפול בקישורי deep link ב-SwiftUI

// SceneDelegate или App с @main
.onOpenURL { url in
    guard let token = url.queryParameters["token"] else { return }
    coordinator.navigate(to: .resetPassword(token: token))
}

הטוקן מועבר ל-Reset ViewModel, ולא נשמר יותר מהנדרש ב-URL או במחסנית הניווט.

מסך סיסמה חדשה

// SceneDelegate или App с @main .onOpenURL { url in guard let token = url.queryParameters["token"] else { return } coordinator.navigate(to: .resetPassword(token: token)) } עם SecureField — iOS יציע מחולל סיסמאות מ-Keychain. זה מפחית את הסיכון לסיסמאות חלשות. מחוון חוזק — פס צבעוני עם חישוב בזמן אמת. אנו משתמשים בספריית textContentType(.newPassword) (קיימות גרסאות ל-Swift ול-Kotlin) — היא מעריכה סיסמאות בצורה מדויקת יותר מחוקים פרימיטיביים ("מכיל ספרה + אות").

לאחר שינוי הסיסמה, בטלו את כל הסשנים הפעילים (בצד השרת). האפליקציה הניידת חייבת לקבל טוקנים חדשים ולמחוק את הישנים מה-Keychain.

שחזור באמצעות אימייל לעומת SMS

שחזור באימייל משתמש בהגנת HTTPS אך סובל מעיכובים של מסנני ספאם (עד 5 דקות). שחזור ב-SMS מהיר יותר (5–30 שניות) אך חשוף להתקפות SIM swap. עבור אפליקציות קריטיות (פינטק, בריאות), אנו ממליצים לשלב עם TOTP או התראות push. עלות SMS נוספת (~$0.01 להודעה) עשויה להיות מוצדקת בגלל המהירות. הנזק מפריצת חשבון באפליקציה פיננסית יכול לעלות על $100,000.

פרצות נפוצות ופתרונות

למה להפקיד בידי פיתוח מקצועי?

הצוות שלנו בעל ניסיון של 5+ שנים באבטחת מובייל, ו-20+ פרויקטי שחזור סיסמה שהושלמו. אנו מבטיחים עמידה ב-OWASP ובהנחיות App Store Review Guidelines. הקוד עובר בדיקת קוד ובדיקות אוטומטיות (יחידה + ממשק משתמש). לאחר הסיום — תיעוד, קוד מקור, ושבועיים של תמיכה חינם.

מה כלול

• ניתוח הארכיטקטורה הקיימת ודרישות האבטחה.
• פיתוח צד לקוח: מסכי הזנת אימייל, הזנת OTP, הגדרת סיסמה.
• הגדרת Universal Links (iOS) ו-App Links (Android) עם פרסום נכסים.
• אינטגרציית שרת: נקודות קצה REST/GraphQL, אימות טוקנים.
• בדיקות: בדיקות יחידה, בדיקות UI, בדיקות חדירה לתהליך השחזור.
• תיעוד: תיאור התהליך, הוראות פריסה, API.
• תמיכה לאחר השחרור: שבועיים של ייעוץ ותיקוני באגים.

לוחות זמנים ועלות

לוחות זמנים: 4–7 ימי עבודה לכל פלטפורמה (iOS או Android). הגדרת Universal/App Links, אם לא בוצעה כבר — בתוספת 1–2 ימים. העלות מחושבת באופן אישי לפי מורכבות ומספר הפלטפורמות. צרו קשר להערכת פרויקט — נכין הצעה מסחרית תוך יום עבודה אחד. קבלו ייעוץ ליישום שחזור סיסמה עוד היום.