"Nieuwe login op Tweakers" e-mail

[AzertyNL]

Vandaag kreeg ik een (goedbedoelde) waarschuwings e-mail:

Nieuwe login op Tweakers

Beste AzertyNL,

We hebben een login op je Tweakers-account vanaf een onbekend IP-adres vastgesteld.

Host: iets*.xs4all.nl
IP-adres: 83.iets.nogiets.weereennogiets
Locatie: NL
Tijdstip: donderdag 2 juli 2020 16:33 uur

Als je deze login herkent en zelf gedaan hebt, dan is er geen probleem! Mocht je deze login niet herkennen dan raden we je aan je wachtwoord te wijzigen.

Mocht je naar aanleiding van deze e-mail nog vragen hebben, dan kun je die het beste naar [e-mail] sturen.

Met vriendelijke groet,

Tweakers

Nu is het vreemde dat ik altijd met het bovengenoemde ip-adres inlog (al jaren). Het is ook niet recent veranderd (noch hostname noch ip adres) en ik browse/login ook eigenlijk zelden/nooit vanaf een ander ip-adres.

Daarom mijn vraag: Waarom zou ik opeens deze e-mail krijgen(mail headers en links zien er goed uit, het is geen phishing-achtige fake mail volgens mij.) ?

[MAX3400]

Krijg 'm ook wel eens; volgens mij als er een cookie verlopen / verwijderd is ofzo in je browser.

Tja, lastig dat je erop wordt geattendeerd dat je inlogt en dat dat opvalt door de website.

@AzertyNL op https://tweakers.net/my.tnet/sessions/ kan je toch zien of er sessies verlopen zijn en dat vergelijken met je browser-cookies?

[Voor 27% gewijzigd door MAX3400 op 02-07-2020 19:49]

[OneTimer]

Ik kreeg laatst ook zo'n mail. Met een ipv6 adres.
De mail klopte wel want Firefox had de cookies verwijderd dus ik moest opnieuw inloggen.

[AzertyNL]

MAX3400 schreef op donderdag 2 juli 2020 @ 19:47:
op https://tweakers.net/my.tnet/sessions/ kan je toch zien of er sessies verlopen zijn en dat vergelijken met je browser-cookies?

Die sessies-pagina kende ik niet. Daar zie ik inderdaad mijn huidige sessie, en tientallen oudere sessies (inderdaad met mijn normale IP adres) van afgelopen weken.
Frappant dat ik nooit eerder (in de afgelopen 10 jaar ofzo) zo'n e-mail heb gekregen om te waarschuwen voor eventuele hacks van mijn account.

[True]

Ik zou wel zeggen dat als het IP adres opgeslagen wordt er geen extra mail hoeft te komen als het IP adres bekend is. Immers is het verwijderen van cookies of het gebruik maken van een notracking functionaliteit óf het bewust uitloggen nog wel iets wat wel eens voor kan komen.

[Orion84]

Dit is meer iets voor Stoute Bugs

[crisp]

De ip-history voor logins wordt door ons na 6 maanden opgeschoond (ja, AVG), dus als je daarna opnieuw een keer inlogt wordt je IP weer als 'onbekend' gezien.

@DaFeliX weet jij waarom er voor zo'n relatief korte retentieperiode is gekozen?

[celshof]

crisp schreef op vrijdag 3 juli 2020 @ 00:16:
De ip-history voor logins wordt door ons na 6 maanden opgeschoond (ja, AVG), dus als je daarna opnieuw een keer inlogt wordt je IP weer als 'onbekend' gezien.

@DaFeliX weet jij waarom er voor zo'n relatief korte retentieperiode is gekozen?

Kun je dan niet beter elke maand de logins wissen die ouder zijn dan 6 maanden?

[crisp]

celshof schreef op vrijdag 3 juli 2020 @ 00:44:
[...]
Kun je dan niet beter elke maand de logins wissen die ouder zijn dan 6 maanden?

Dat doen we dus ook, alles ouder dan 6 maanden wordt periodiek opgeschoond.

[DaFeliX]

crisp schreef op vrijdag 3 juli 2020 @ 00:16:
De ip-history voor logins wordt door ons na 6 maanden opgeschoond (ja, AVG), dus als je daarna opnieuw een keer inlogt wordt je IP weer als 'onbekend' gezien.

@DaFeliX weet jij waarom er voor zo'n relatief korte retentieperiode is gekozen?

Hmm, ik weet niet meer waarom we exact 6 maanden hebben gekozen. Wat ik wel weet is dat we hard konden maken dat het meer dan een maand moest zijn, maar hoe dan op 6 uitgekomen zijn weet ik niet meer.

Als 6 maanden te krap blijkt te zijn, is het wat mij betreft uiteraard bespreekbaar om dit te verlengen tot bijvoorbeeld een jaar. Een andere mogelijkheid is om de tekst in de e-mail te voorzien van de periode, zodat het duidelijk is wat een 'onbekend ip' is. De tekst zou dan bijvoorbeeld kunnen worden "We hebben een login op je Tweakers-account vanaf een IP-adres vastgesteld dat in de afgelopen 6 maanden nog niet is gebruikt." oid.

[celshof]

crisp schreef op vrijdag 3 juli 2020 @ 00:48:
[...]

Dat doen we dus ook, alles ouder dan 6 maanden wordt periodiek opgeschoond.

Maar als ik naar de karma grafiek van AzertyNL kijk, zou ik verwachten dat hij in de afgelopen 6 maanden ingelogd heeft. Dan zou die melding niet mogen komen lijkt me.

[Haan]

Als je al ingelogd bent wordt de ip-history waarschijnlijk niet bijgewerkt, dat zou lastig zijn, dan zou je dat op basis van activiteit op de site moeten doen en dan kom je weer in de knel met de AVG. Dus als je dan na zes maanden weer een keer inlogt ben je inmiddels 'vergeten'.
Als het korter dan 6 maanden geleden was kan de history worden bijgewerkt met nieuwe datum.

[crisp]

DaFeliX schreef op vrijdag 3 juli 2020 @ 07:35:
[...]


Hmm, ik weet niet meer waarom we exact 6 maanden hebben gekozen. Wat ik wel weet is dat we hard konden maken dat het meer dan een maand moest zijn, maar hoe dan op 6 uitgekomen zijn weet ik niet meer.

Als 6 maanden te krap blijkt te zijn, is het wat mij betreft uiteraard bespreekbaar om dit te verlengen tot bijvoorbeeld een jaar. Een andere mogelijkheid is om de tekst in de e-mail te voorzien van de periode, zodat het duidelijk is wat een 'onbekend ip' is. De tekst zou dan bijvoorbeeld kunnen worden "We hebben een login op je Tweakers-account vanaf een IP-adres vastgesteld dat in de afgelopen 6 maanden nog niet is gebruikt." oid.

Nou ja, "niet is gebruikt" is dan natuurlijk nog steeds niet correct, want je kan best al die tijd dat IP met je sessie gebruikt hebben

Maar in ieder geval is dit geen bug maar iets waar onze productowners maar weer over na mogen denken, dus ik verplaats deze even naar Mooie Features en haak @ikloon even aan

[DaFeliX]

celshof schreef op vrijdag 3 juli 2020 @ 07:39:
[...]

Maar als ik naar de karma grafiek van AzertyNL kijk, zou ik verwachten dat hij in de afgelopen 6 maanden ingelogd heeft. Dan zou die melding niet mogen komen lijkt me.

Met inloggen bedoelen we het daadwerkelijk doen van de inlog-procedure. Het is best gebruikelijk dat je dit één keer doet per apparaat waar je tweakers op gebruikt. Als je eenmaal op je thuis pc en werk pc bent ingelogt, dan kan het best gebeuren dat je meer dan 6 maanden lang niet meer inlogt. Pas als je dan na meer dan 6 maanden per ongeluk op "uitloggen" hebt gedrukt, of je een nieuw apparaat hebt waar je tweakers op gebruikt, dan krijg je deze melding.

[DaFeliX]

crisp schreef op vrijdag 3 juli 2020 @ 07:48:
[...]

Nou ja, "niet is gebruikt" is dan natuurlijk nog steeds niet correct, want je kan best al die tijd dat IP met je sessie gebruikt hebben

[...]

Ja, ik had exacter moeten zijn, "niet is gebruikt *om in te loggen*"

[AzertyNL]

DaFeliX schreef op vrijdag 3 juli 2020 @ 07:50:
[...]


Met inloggen bedoelen we het daadwerkelijk doen van de inlog-procedure.

In mijn geval kan ik zeggen dat ik zo'n beetje om de dag echt handmatig opnieuw inlog (username + ww invoeren) wat nodig is omdat ik dan een nieuwe browser open zonder cookie historie. Dus toen ik de mail kreeg was dat zeker niet de eerste login in 6 maanden of langer.

[crisp]

Hmmm, het lijkt er inderdaad op dat de datum/tijd bij het IP niet wordt geupdate bij een nieuwe login. Dus toch een bug...

[DaFeliX]

crisp schreef op vrijdag 3 juli 2020 @ 09:07:
Hmmm, het lijkt er inderdaad op dat de datum/tijd bij het IP niet wordt geupdate bij een nieuwe login. Dus toch een bug...

oeps, inderdaad. Dat had ik beter moeten doen

* DaFeliX is working on it

[DaFeliX]

DaFeliX schreef op vrijdag 3 juli 2020 @ 09:41:
[...]


oeps, inderdaad. Dat had ik beter moeten doen

* DaFeliX is working on it

En terwijl ik hier nog maar net begonnen was aan, had @crisp al een fix klaar

[Dirk]

Tja, dat is de ervaren kracht tegen het broekkie. Jouw 10 jaar ervaring stelt niets voor.

[AzertyNL]

Tof dat jullie dit geanalyseerd en gefixed hebben, ik zal de e-mail koesteren want ik krijg er niet snel nog eentje zo te horen