[10640] Ссылка на ЛК жильца с логином/паролем

Предлагаю добавить возможность передать в тексте ссылки параметры для авторизации в личном кабинете жильца.
Зачем нужно: последнее время часто приходится предоставлять доступ старшим по дому, данные для входа рассылаются через эл. почту/мессенджеры. Было бы очень удобно если при тапе на ссылку пользователь сразу попадал в личный кабинет без необходимости копировать и вставлять свои логин и пароль в поле для ввода. Плюс ко всему это избавляет от проблем когда неопытные пользователи не могут ввести правильно свой пароль.
Угрозы для безопасности здесь не вижу, т.к. просто нужна возможность отправить ссылку вида
my.lers.ru/login/?username=demo&password=demo

Это как раз небезопасно. Вы предлагаете передавать логин и пароль в строке URI в GET запросе. Этот запрос сохранится в истории браузера и в журналах WEB сервера, прокси-сервера, и даже не знаю где ещё.

Более безопасно передавать логин и пароль в POST запросе, но ссылку на него просто так отправить не получится. Для этого потребуется какой-то javascript-код.

Ещё вариант - одноразовые ссылки или QR-коды. Но они будут именно что одноразовые и действовать ограниченное время. Иначе всё это лишние потенциальные угрозы.

Ещё можно продумать 2FA с одноразовым паролем по SMS. Но это тоже будет не просто ссылка с логином и паролем.

Действительно передавать в таком виде логин/пароль небезопасно. Ошибочно считал что при работе через https запросы шифруются, но насколько я понял первоначальный запрос в любом случае идет в открытом виде + описанные Вами “уязвимости”.
Предлагаю в таком случае рассмотреть возможность авторизации по номеру телефона. Вижу это примерно так:
Создаем учетную запись, указываем для нее номер мобильного телефона (функционал такой уже есть для рассылки sms уведомлений). Далее пользователь открывает веб интерфейс, нажимает кнопку “вход по номеру телефона”, указывает свой номер, сервер через GSM модем направляет на указанный номер sms с одноразовым кодом для входа.
В данном случае удобство для пользователей будет заключаться в том, что не нужно запоминать свой логин.
Из минусов пока вижу только невысокую надежность отправки смс через модем сервера. Решить можно добавлением поддержки смс шлюзов(это будет полезно не только для входа по номеру)

Они шифруются, но GET запросы много где открыто протоколируются в промежуточных серверах, в отличие от POST. Раньше в браузерах даже была функция маскирования паролей в URL, но потом такую возможность убрали полностью.

Запрос на отправку SMS через SMPP шлюзы у нас уже был, но так как востребованность была низкая, закрыли его без действия.

Сейчас переоткроем. Без шлюзов вход по SMS будет очень ненадёжным.

Версию пока определить не могу, подготовтиельных работ довольно много.

Если пользователь войдет по такой ссылке - потом он сможет неограниченное количество раз входить не вводя логин пароль пока не очистит кеш/cookie, или через определенное время в любом случае понадобится перелогиниться?

В моём понимании это будет равнозначно вводу паролю. Соответственно, вход будет сохранён точно так же, и в дальнейшем до очистки данных сайта можно будет входить без пароля во время срока действия токена. По умолчанию 12 месяцев.

В таком случае предлагаю в данной теме рассмотреть вопрос возможности входа по одноразовым ссылкам/qr коду.
В качестве дополнительной меры безопасности думаю можно разрешить использование такого метода входа только определенным группам пользователей.
Если проектировать такую возможность - предлагаю сразу реализовать её так, чтобы это было вроде групповой операции. Для возможности легко предоставить доступ большому количеству пользователей.

Честно говоря, в свете возможной двухфакторной авторизации с SMS не вижу особого смысла делать вход по QR. Возможно, лучше подождать и сразу получить более удобный способ авторизации без пароля?

Думаю да, Вы правы. Дождемся авторизации по смс, а там уже можно будет определить необходимость входа по QR.

Пока поставим в план, но без конкретной версии. Работы много, будем постепенно реализовывать шаги.