Проверка — действительно ли клиент активировал почту по номеру телефона?

Question

[NonameMeTrue]

Разрабатываю безопасное приложение на ноде.
Фактически, nodejs может отправлять любые запросы на почтовые сервисы(и сайты).
Законно ли делать такой запрос на восстановление пароля по введённому пользователем email'у и с помощью этого проверять, привязана ли его почта к номеру телефона?
Есть ли другие способы сделать такую проверку? (Api, которое такую возможность предоставляет не нашёл)
И, на некоторых сервисах(к примеру, yandex'е) требуется ввести капчу, дабы отправить запрос на восстановление. Возможно ли обойти её другим запросом на репасс-ссылку или же перенаправлять картинку пользователю, считывать ответ и возвращать его?
Также, собственно, не возникнет ли конфликт с капчами от тех сервисов(тот же mail), где изначально её вводить не нужно, а после нескольких попыток уже потребуется(возможно на сервисе есть какое-либо запоминание пришедших запросов и последующая попытка их отражения, домыслы..).

Comments

[Сергей delphinpro]

Моя реакция как пользователя была бы такой: а ты не охренел?

[NonameMeTrue]

Сергей delphinpro, если такую проверку реализовать и не сообщать пользователю, то конечно же и такой реакции не будет, не так ли?

[Сергей delphinpro]

NonameMeTrue, это как не сообщать? запрос на восстановление до пользователя все равно дойдет.

[NonameMeTrue]

Сергей delphinpro, просто делать первый этап восстановления, а именно - обычный ввод названия почты. После этого там обычно не отправляется уведомление, а показываются способы. И вот, если есть пункт "по номеру телефона", то логично, что почта привязана.

[Moskus]

NonameMeTrue, какие-то у вас странные идеи. Это так не работает.

[NonameMeTrue]

Moskus, значит, по Вашему это как должно работать?

[Moskus]

NonameMeTrue, то, что вы хотите, не должно работать никак. Не должно быть возможно выяснить, привязана ли чья-то почта на стороннем сервисе к его телефону.

[NonameMeTrue]

Moskus, однако такая возможность есть. К примеру, для mail.ru подходит такой код:

var request = require("request");
request({
    uri: "https://e.mail.ru/api/v1/user/password/restore",
    headers: {
        host: "e.mail.ru"
    },
    form: {
        ajax_call: 1,
        "tab-time": Date.now(),
         email: "[e-mail]",
         htmlencoded: false,
         api: 1,
         token: "",
         "x-email": "",
    },
    method: "POST",
    timeout: 10000,
    followRedirect: true,
    maxRedirects: 10
}, function(error, response, body) {
    console.log(body.includes('"phones":["'));
});

[Moskus]

NonameMeTrue, mail.ru отличается пренебрежительным отношением к безопасности, мягко говоря.

[NonameMeTrue]

Moskus, факт того, что это возможно сделать с помощью ноды на любом сайте - есть. Любая безопасность практически может быть обойдена(можно лишь сильно ограничить того, кто попробует её перейти), а значит, думаю вполне реально ответить на этот вопрос:

И, на некоторых сервисах(к примеру, yandex'е) требуется ввести капчу, дабы отправить запрос на восстановление. Возможно ли обойти её другим запросом на репасс-ссылку или же перенаправлять картинку пользователю, считывать ответ и возвращать его?