网站注册邮件发送密码的合规性及向站长反馈方式咨询

首先得给你吃个定心丸：你的怀疑完全正确，这种做法不仅有问题，还严重违反了行业通用的安全规范。核心原因有这么几个：

• 邮件本身的安全性缺陷：虽然现在很多邮件服务商支持TLS加密传输，但邮件会被长期存在用户的邮箱服务器、本地客户端里——一旦用户邮箱被盗，或者邮件服务器被攻击，明文密码直接就暴露了。而且如果中间任何一个环节的服务器没配置好TLS，密码在传输过程中就可能被窃听。
• 网站的密码存储逻辑根本不合格：正规的网站永远不会存储明文密码，只会存储经过加盐哈希（比如bcrypt、Argon2这种慢哈希算法）后的字符串。如果网站能给你发明文密码，说明他们要么存了明文，要么用了可逆加密的方式存密码——这两种情况，只要网站数据库被泄露，所有用户的密码都会直接变成黑客的囊中之物。
• 放大用户的复用风险：大部分用户有重复使用密码的习惯，这封邮件里的密码一旦泄露，用户在其他平台的账号也会跟着遭殃。

反馈的时候要讲清楚问题、风险，还要给解决方案，站长才更容易接受：

• 先明确指出问题：别只说“你们的做法不安全”，要具体：“我在注册贵站时发现，完成注册后收到了包含明文密码的邮件。这种做法存在明显的安全风险，不符合密码安全的行业最佳实践。”
• 给出可落地的替代方案：
  • 把注册流程改成让用户自行设置密码，而不是网站生成后发送；
  • 如果必须生成初始密码，发送一次性的密码重置链接（设置短有效期，只能使用一次，点击后引导用户设置自己的密码）；
• 搬出权威依据增强说服力：可以提OWASP或者NIST的标准，比如“根据OWASP密码存储指南，网站不应存储或传输明文密码；NIST的联邦身份验证标准也明确禁止通过邮件发送明文密码。”
• 保持友好专业的语气：毕竟你是在帮他们提升安全性，不是找茬，比如结尾可以说“希望这个建议能帮助贵站提升用户账号的安全性，感谢你们的关注。”

这些行业标准可以作为你反馈的有力支撑：

• OWASP Top 10（2021版）：其中的「A07:2021 - 身份验证失败」类别，明确包含了不安全的密码处理方式，包括传输明文密码；
• OWASP 密码存储 cheat sheet：直接规定「永远不要存储明文密码，永远不要通过任何渠道传输明文密码」；
• NIST SP 800-63B：美国联邦政府的身份验证标准，里面明确要求「验证方不得通过邮件或其他不安全方式发送密码」。

内容的提问来源于stack exchange，提问作者Philippe-André Lorin