Logowanie, sesje i bezpieczne zamykanie

Moduł 1: Jak działa Państwa poczta · Czas czytania: 9 min

Cel lekcji: Po tej lekcji będą Państwo wiedzieć, jakimi danymi logują się Państwo do webmaila, czym jest sesja i jak długo trwa, a także jak bezpiecznie pracować i kończyć pracę na własnym oraz na wspólnym komputerze.

Kluczowe pojęcia: nazwa użytkownika, hasło skrzynki pocztowej, pole Serwer, sesja, plik cookie, Pozostań zalogowany, okno prywatne, wylogowanie, blokada adresu IP

Kim są Państwo dla webmaila?

Dla webmaila są Państwo skrzynką pocztową: jednym adresem e-mail z własnym hasłem i własnym miejscem na dane. Dlatego logują się Państwo za pomocą dwóch rzeczy:

• pełnego adresu e-mail jako nazwy użytkownika, czyli sanne@example.com, a nie samo sanne. Na serwerze pocztowym znajdują się skrzynki wielu domen. Dopiero na podstawie pełnego adresu serwer wie, o którą skrzynkę chodzi;
• hasła tej skrzynki pocztowej.

Z tym drugim często są problemy. Hasło skrzynki pocztowej to coś innego niż hasło do konta klienta u dostawcy lub do panelu administracyjnego (w WebOké: Moje WebOké i DirectAdmin). To hasło, które zostało wybrane podczas zakładania adresu e-mail. Jeśli adres założył ktoś inny, na przykład administrator w Państwa firmie, to być może zna to hasło lub może ustawić nowe.

Na ilustracji widać stronę logowania z polami Nazwa użytkownika, Hasło i Serwer. W haśle rozróżniane są wielkie i małe litery. Jeśli logowanie się nie udaje, choć są Państwo pewni, że hasło jest poprawne, prosimy najpierw sprawdzić, czy nie jest włączony Caps Lock.

Pole Serwer: zwykle puste

Webmail WebOké musi wiedzieć, na którym serwerze znajduje się Państwa skrzynka. Zwykle ustala to sam na podstawie Państwa domeny. Dlatego prawie wszyscy pozostawiają pole Serwer puste.

Wypełniają je Państwo tylko wtedy, gdy domena nie wskazuje na WebOké, a skrzynka mimo to się tam znajduje, na przykład podczas przenoszenia domeny. Wpisują Państwo wtedy nazwę serwera swojego pakietu. Serwer innej firmy nie zadziała: ten webmail służy wyłącznie do skrzynek w WebOké.

Pułapka, o której mało kto wie: prosimy zawsze logować się w ten sam sposób. Webmail zapisuje Państwa ustawienia, tożsamości, podpis i książkę adresową razem ze sposobem logowania. Jeśli raz zalogują się Państwo z pustym polem, a innym razem z nazwą serwera, zobaczą Państwo tę samą pocztę (jest ona na serwerze pocztowym), ale podpis i książka adresowa nagle będą wyglądać na puste. Nie zniknęły, należą po prostu do drugiego sposobu logowania.

W innych webmailach tego pola zwykle nie ma: tam webmail należy do jednej usługi, jak w przypadku Gmail czy Outlook.com.

Czym jest sesja?

Po zalogowaniu nie chcą Państwo wpisywać hasła przy każdym kliknięciu. Dlatego webmail tworzy sesję: serwer zapamiętuje, że są Państwo zalogowani, a przeglądarka otrzymuje plik cookie z długim, losowym kodem. Przy każdym kliknięciu przeglądarka wysyła ten kod. W ten sposób serwer Państwa rozpoznaje.

Ma to ważną konsekwencję: kto ma ten plik cookie, ten dla webmaila jest Państwem. Nie potrzebuje Państwa hasła. Dlatego tak ważne jest, aby sesja na cudzym komputerze została naprawdę zakończona.

Sesja się kończy:

• gdy klikną Państwo Wyloguj: serwer usuwa sesję, a plik cookie staje się bezużyteczny;
• gdy przez pewien czas nic Państwo nie robią, a webmail nie jest już otwarty: serwer pozwala sesji wygasnąć. Dopóki karta jest otwarta, webmail sam podtrzymuje sesję, co jakiś czas sprawdzając, czy nadeszła nowa poczta;
• gdy zamkną Państwo przeglądarkę, chyba że włączyli Państwo opcję Pozostań zalogowany.

Pozostań zalogowany i Zapamiętaj nazwę użytkownika

Pod polem hasła znajdują się dwa pola wyboru. Widać je na ilustracji, razem z objaśnieniem, które pojawia się po włączeniu opcji Pozostań zalogowany.

• Zapamiętaj nazwę użytkownika: następnym razem Państwa adres e-mail będzie już wpisany. Wygodne i mało ryzykowne.
• Pozostań zalogowany: pozostają Państwo zalogowani przez 30 dni, nawet po zamknięciu przeglądarki i wyłączeniu komputera. Plik cookie jest wtedy przechowywany.

Opcja Pozostań zalogowany jest wygodna na własnym laptopie z blokadą ekranu. Na każdym innym urządzeniu stanowi ryzyko: każdy, kto potem otworzy tę przeglądarkę, znajdzie się w Państwa skrzynce. Może czytać Państwa pocztę, wysyłać wiadomości w Państwa imieniu, a przez opcję "nie pamiętam hasła" w innych usługach zamawiać przesłanie nowych haseł e-mailem. Skrzynka pocztowa jest kluczem do wielu innych Państwa kont.

Na wspólnym komputerze

Jeśli pracują Państwo na cudzym komputerze, w bibliotece lub na komputerze klienta, prosimy postępować tak:

1. Otworzyć okno prywatne (w Chrome okno incognito, w Firefox okno prywatne, w Safari okno prywatne). Okno prywatne zaczyna bez plików cookie i usuwa je po zamknięciu wszystkich okien prywatnych. Nie chroni przed oprogramowaniem szpiegującym na tym komputerze, ale chroni przed zapomnianymi plikami cookie.
2. Odznaczyć oba pola wyboru.
3. Nie pozwolić przeglądarce zapisać hasła. Na pytanie "Zapisać hasło?" wybrać Nigdy lub Nie teraz.
4. Po zakończeniu pracy kliknąć Wyloguj, a następnie zamknąć okno prywatne.

Po wylogowaniu przycisk Wstecz w przeglądarce może czasem jeszcze pokazać starą stronę. Pochodzi ona z pamięci przeglądarki, a nie z serwera. Gdy Państwo coś klikną, trafią Państwo na stronę logowania, ponieważ sesja już nie istnieje.

Zapisywać hasło w przeglądarce?

Na własnym urządzeniu z blokadą ekranu zapisane hasło w menedżerze haseł (również tym wbudowanym w przeglądarkę) jest w porządku. Pomaga nawet w ochronie przed phishingiem: menedżer haseł wpisuje hasło tylko pod prawdziwym adresem webmaila, a nie na fałszywej stronie (lekcja 2.4). Na wspólnym urządzeniu lub komputerze bez własnego konta użytkownika nigdy niczego nie zapisujemy.

Zbyt wiele prób z błędnym hasłem

Serwery pocztowe są przez cały dzień atakowane przez programy zgadujące hasła. Dlatego zapora (firewall) serwera blokuje adres IP, z którego zbyt często próbowano zalogować się błędnym hasłem. To chroni Państwa skrzynkę, ale może też uderzyć w Państwa samych.

Klasyczny przykład: Daan zmienia hasło do poczty, ale zapomina o starym tablecie leżącym w szufladzie. Tablet co kilka minut próbuje zalogować się starym hasłem. Po pewnym czasie zapora blokuje adres IP biura. Wtedy webmail przestaje działać dla wszystkich w biurze, często także strona internetowa, podczas gdy na telefonie przez 4G wszystko działa. To ostatnie jest wskazówką: problem dotyczy adresu Państwa połączenia, a nie skrzynki pocztowej.

Rozwiązanie zawsze składa się z dwóch kroków: ustawić poprawne hasło na wszystkich urządzeniach, a następnie zlecić zdjęcie blokady.

W praktyce: tak to działa w webmailu

Webmail WebOké otwierają Państwo pod adresem webmail.weboke.pl. Wylogowują się Państwo przyciskiem Wyloguj w lewym dolnym rogu menu. Kroki opisano w podręczniku Roundcube w częściach Logowanie do webmaila, Pole Serwer oraz Pozostań zalogowany i wylogowanie. Jeśli logowanie się nie udaje, prosimy zajrzeć do części Logowanie nie działa. Przy weryfikacji dwuetapowej (lekcja 8.1) webmail po haśle prosi jeszcze o kod. W innych webmailach, takich jak Gmail czy Outlook.com, działa to podobnie: tam również pole wyboru nazywa się na przykład Nie wylogowuj mnie i obowiązują te same zasady dotyczące wspólnego komputera.

Podsumowanie

• Logują się Państwo pełnym adresem e-mail i hasłem skrzynki pocztowej, a nie hasłem do konta klienta lub panelu.
• Pole Serwer prosimy pozostawić puste, chyba że domena znajduje się gdzie indziej, i logować się zawsze w ten sam sposób.
• Sesja to plik cookie, dzięki któremu serwer Państwa rozpoznaje; kto ma ten plik cookie, ten dla webmaila jest Państwem.
• Pozostań zalogowany (30 dni) tylko na własnym urządzeniu; na wspólnym komputerze: okno prywatne, odznaczone pola wyboru, wylogowanie.
• Urządzenie ze starym hasłem może spowodować zablokowanie Państwa adresu IP.

Quiz

Zadanie

Zadanie D1.3: Ćwiczenie logowania i wylogowania. Prosimy otworzyć okno prywatne w przeglądarce i zalogować się do webmaila. Proszę sprawdzić, jakie pola wyboru znajdują się pod polem hasła i co się pojawia po włączeniu opcji Pozostań zalogowany (przed zalogowaniem proszę ją ponownie wyłączyć). Proszę się zalogować, otworzyć wiadomość i kliknąć Wyloguj. Następnie proszę nacisnąć przycisk Wstecz w przeglądarce i kliknąć coś na wyświetlonej stronie. Potem prosimy odpowiedzieć na pytania: Co się stało, gdy po wylogowaniu nacisnęli Państwo Wstecz, a potem coś kliknęli, i dlaczego? Na których z używanych przez Państwa urządzeń włączyliby Państwo opcję Pozostań zalogowany, a na których nie? Czy mają Państwo gdzieś urządzenie, na którym może być zapisane stare hasło do poczty?

Dalsza lektura

Opisane kroki w webmailu dotyczą webmaila WebOké; w innych webmailach działa to podobnie.

• Roundcube Webmail 1.2: Logowanie do poczty internetowej
• Roundcube Webmail 1.3: Pole Serwer: kiedy należy je wypełnić?
• Roundcube Webmail 1.4: Pozostawanie zalogowanym i wylogowanie
• Roundcube Webmail 13.1: Nie można się zalogować
• Jak przejść do poczty webmail i co zrobić, gdy nie można się zalogować
• Zmiana hasła lub limitów adresu e-mail
• Menedżer haseł i passkeys: jak bezpiecznie zadbać o logowanie
• Bezpłatny kurs Bezpieczny internet dla przedsiębiorców 5.2: Bezpieczne korzystanie z laptopa i telefonu