Support-Forum Mirko Böer Softwareentwicklungen

Nein, ich meine das Script, welches die newsletter.php erzeugt. Dort könnte man doch gleich die Absender-Adresse und den Real-Namen abfragen, so dass diese Infos in die newsletter.php eingebaut werden!

Dann sind es noch mehr Eingaben, für viele ist das jetzt schon zu kompliziert.

Dann könnte man ja bei der Anmeldung auch darauf zu verzichten, oder?

Ob sicher oder nicht, es würde auf jeden Fall die normalen Spielefritzen nicht auf den Plan rufen.

Vielleicht ist ja doch was machbar?

Darauf verzichten kann man nicht, es ist sicherer als ohne Verschlüsselung. Und natürlich setzt sich kaum jemand hin und fängt an zu manipulieren, normalerweise sollte man anderes zu tun haben.

Ohne Datenbank mit eindeutigen Zeichenketten im Hintergrund bekommt man keine sicherer Verschlüsselung hin, weil man natürlich den Wert immer wieder entschlüsseln können muss. Die Alternative ist die Verwendung der Datei mit Einmalschlüsseln, der Code ist im Script enthalten, man muss aber von Hand noch eine Datei anlegen und die Rechte korrekt vergeben.

Mein Problem wäre also durch SuperMailingList nicht gelöst?

Bei der Abmeldung gibt es keine Verschlüsselung, nur bei der Anmeldung wird ein eindeutiger String verwendet, weil diese über die Datenbank läuft. In der Datenbank selbst ist der eindeutige String gespeichert, das Script kann diesen in der Datenbank finden.

Sehr schade, denn Supermailer ist an sich ein sehr schönes Programm. Ich hätte aber wirklich nicht gedacht, dass man so schnell an die Grenzen stößt.

Eine direkte Grenze ist das nun auch wieder nicht. Es ist halt das Problem, dass man nicht einfach etwas verschlüsseln kann, wenn es das andere System nicht wieder entschlüsseln kann. Verwendet man eine Verschlüsselung, die sich wieder entschlüsseln lässt, dann kann es auch jedes andere System.

Für mich ist es wirklich sehr wichtig, dass nur der Besteller des Newsletters diesen auch wieder abbestellen kann - oder dass wenigstens eine Info-Mail an den Besteller rausgeht, wenn der Newsletter wieder abbestellt wurde.

Die Info-Mail nach Abbestellung kann man hinzuprogrammieren. Dazu anschauen wie die E-Mail mit dem Bestätigungs-Link erstellt wird, genauso muss eine Textdatei für die Abmeldung angelegt, geladen und versendet werden.

Original von Mirko:

Scriptpersonalisierung? Wahrscheinlich ist dieses gemeint thread.php?id=6430&start=1&seuser=&sepost=str_replace#0

Nein, ich meine das Script, welches die newsletter.php erzeugt. Dort könnte man doch gleich die Absender-Adresse und den Real-Namen abfragen, so dass diese Infos in die newsletter.php eingebaut werden!

Ist aber auch nicht sicher, weil die Verschlüsselung auf einem Einmalschlüssel basiert, den man durch eine einfach Rechnung bestimmen kann.

Dann könnte man ja bei der Anmeldung auch darauf zu verzichten, oder?

Ob sicher oder nicht, es würde auf jeden Fall die normalen Spielefritzen nicht auf den Plan rufen.

Vielleicht ist ja doch was machbar?

Die Bestellung läuft per eindeutiger Zeichenkette (nicht die ID, das ist zu einfach). Abbestellung läuft aber genauso über die E-Mail-Adresse, weil es für den Menschen am einfachsten zu handeln und zu verstehen ist.

Mein Problem wäre also durch SuperMailingList nicht gelöst?

Sehr schade, denn Supermailer ist an sich ein sehr schönes Programm. Ich hätte aber wirklich nicht gedacht, dass man so schnell an die Grenzen stößt.

Für mich ist es wirklich sehr wichtig, dass nur der Besteller des Newsletters diesen auch wieder abbestellen kann - oder dass wenigstens eine Info-Mail an den Besteller rausgeht, wenn der Newsletter wieder abbestellt wurde.

Ralph

\"Subscribe\" ist nicht schwer zu erraten.

Das ist richtig, es könnte aber auch \"Anmelden\" heißen. :p Und man muss wissen, dass diese E-Mail dorthin geschickt werden muss. Der Anmelder sieht das normalerweise überhaupt nicht.

Danke für den Änderungsvorschlag, damit wäre das große Problem erstmal beseitigt.

Nett wäre, wenn diese Funktion (+ Realname!) auch in die Scriptpersonalisierung aufgenommen werden würde.

Scriptpersonalisierung? Wahrscheinlich ist dieses gemeint thread.php?id=6430&start=1&seuser=&sepost=str_replace#0

Wenn die Teilnehmer sich untereinander kennen, ist das kein Problem.

Gut davon kann man aber im Normalleben nicht ausgehehen, 99,9% werden sich diejenigen nicht kennen bzw. wissen nicht ob der anderen angemeldet ist.

Mir ist übrigens nicht bekannt, dass man Double-Opt-out nicht verwenden darf - man _sollte_ es nur nicht einsetzen wegen der vielen Probleme & Hürden, die damit auftreten.

Die Webspace-Provider z.B. 1&1 verlangen die Abmeldung nach der 1-Klick-Methode, also draufklicken, sofort abgemeldet.

Aus diesem Grund interessiert mich auch eine andere mögliche Lösung, z.B. die Verschlüsselung der Mailadresse. Wäre das technisch leicht zu lösen? Beim Bestellen geht\'s ja auch

Ist aber auch nicht sicher, weil die Verschlüsselung auf einem Einmalschlüssel basiert, den man durch eine einfach Rechnung bestimmen kann.

Bietet SuperMailingList eine derartige Funktion, z.B. dass beim Abonieren des Newsletters im Nutzer-Datensatz eine eindeutige ID gespeichert wird und eine Abbestellung nur durch Identifikation mittels dieser ID möglich ist?

Die Bestellung läuft per eindeutiger Zeichenkette (nicht die ID, das ist zu einfach). Abbestellung läuft aber genauso über die E-Mail-Adresse, weil es für den Menschen am einfachsten zu handeln und zu verstehen ist.

Original von Mirko:

Sendet nun ein unfreundlich gesinnter Zeitgenosse mit einer gefälschten Absender-Adresse direkt eine Mail an diese Adresse mit dem Subject \"subscribe\" , so wird bei der nächsten Synchronisation im Supermailer diese Adresse in die Empfänger-Liste übernommen, ohne dass jemals ein \"double-opt-in\" stattgefunden hat.

Schlimmer noch: Der Eigentümer der Mail-Adresse merkt dies nicht einmal und wundert sich erst beim nächsten Newsletter-Versand.

Man muss natürlich wissen, dass die E-Mail den Betreff subscribe besitzen muss. Man kann natürlich im Script die Absender-Adresse beim Versand des Links ändern, dazu im Script nach From: $Recipient suchen und durch From: email adresse aendern. Die email adresse muss dabei korrekt sein und existieren, sonst könnte es sein, dass die E-Mail nicht versendet wird.

\"Subscribe\" ist nicht schwer zu erraten.

Danke für den Änderungsvorschlag, damit wäre das große Problem erstmal beseitigt.

Nett wäre, wenn diese Funktion (+ Realname!) auch in die Scriptpersonalisierung aufgenommen werden würde.

Die Abbestellung über einen Link via Platzhalter in der jeweiligen Newsletter-Mail ist sehr praktisch.

Allerdings ist die E-Mail-Adresse nicht verschlüsselt, so dass jeder Nutzer jeden anderen Nutzer austragen kann - und der aus der Liste ausgetragene Nutzer würde es noch nicht einmal bemerken.

Natürlich könnte man das, nur wer tut das schon und weiss welche E-Mail-Adressen in der Liste sind.

Wenn die Teilnehmer sich untereinander kennen, ist das kein Problem.

Eingabe per Browser
-------------------------

Auch hier führt das Script sofort eine Austragung durch, dadurch entsteht das gleiche Problem wie o.g.

newsletter.php?EMail=info@meinedomain.de&Action=unsubscribe


Gibt es für die Probleme einen Lösungsansatz, ohne ein lästiges double-opt-out zu verwenden?

Double-Opt-out darf man nicht verwenden, es muss sofort die Abmeldung beim Klick auf den Link erfolgen. Ansonsten wie bereits oben beschrieben, man muss wissen welche Empfänger sich im Verteiler befinden. Abmelden kan man sich mit jeder E-Mail-Adressen z.B. heuteisteinschoenertag@googlemail.com kann man abmelden und wird akzeptiert. SuperMailer selbst findet den Eintrag natürlich nicht, entsprechend passiert auch nichts.

Eine Verschlüsselung selbst ist auch nicht sicher, da man dies natürlich durch Rückrechnung des Einmalschlüssels knacken kann.

Es würde aber zumindest den Spieltrieb der Nutzer einschränken und zu 99% verhindern, dass ein Nutzer den anderen unerwünscht abmeldet.

Mir ist übrigens nicht bekannt, dass man Double-Opt-out nicht verwenden darf - man _sollte_ es nur nicht einsetzen wegen der vielen Probleme & Hürden, die damit auftreten.

Aus diesem Grund interessiert mich auch eine andere mögliche Lösung, z.B. die Verschlüsselung der Mailadresse. Wäre das technisch leicht zu lösen? Beim Bestellen geht\'s ja auch

Bietet SuperMailingList eine derartige Funktion, z.B. dass beim Abonieren des Newsletters im Nutzer-Datensatz eine eindeutige ID gespeichert wird und eine Abbestellung nur durch Identifikation mittels dieser ID möglich ist?

Ralph

Sendet nun ein unfreundlich gesinnter Zeitgenosse mit einer gefälschten Absender-Adresse direkt eine Mail an diese Adresse mit dem Subject \"subscribe\" , so wird bei der nächsten Synchronisation im Supermailer diese Adresse in die Empfänger-Liste übernommen, ohne dass jemals ein \"double-opt-in\" stattgefunden hat.

Schlimmer noch: Der Eigentümer der Mail-Adresse merkt dies nicht einmal und wundert sich erst beim nächsten Newsletter-Versand.

Man muss natürlich wissen, dass die E-Mail den Betreff subscribe besitzen muss. Man kann natürlich im Script die Absender-Adresse beim Versand des Links ändern, dazu im Script nach From: $Recipient suchen und durch From: email adresse aendern. Die email adresse muss dabei korrekt sein und existieren, sonst könnte es sein, dass die E-Mail nicht versendet wird.

Die Abbestellung über einen Link via Platzhalter in der jeweiligen Newsletter-Mail ist sehr praktisch.

Allerdings ist die E-Mail-Adresse nicht verschlüsselt, so dass jeder Nutzer jeden anderen Nutzer austragen kann - und der aus der Liste ausgetragene Nutzer würde es noch nicht einmal bemerken.

Natürlich könnte man das, nur wer tut das schon und weiss welche E-Mail-Adressen in der Liste sind.

Eingabe per Browser
-------------------------

Auch hier führt das Script sofort eine Austragung durch, dadurch entsteht das gleiche Problem wie o.g.

newsletter.php?EMail=info@meinedomain.de&Action=unsubscribe


Gibt es für die Probleme einen Lösungsansatz, ohne ein lästiges double-opt-out zu verwenden?

Double-Opt-out darf man nicht verwenden, es muss sofort die Abmeldung beim Klick auf den Link erfolgen. Ansonsten wie bereits oben beschrieben, man muss wissen welche Empfänger sich im Verteiler befinden. Abmelden kan man sich mit jeder E-Mail-Adressen z.B. heuteisteinschoenertag@googlemail.com kann man abmelden und wird akzeptiert. SuperMailer selbst findet den Eintrag natürlich nicht, entsprechend passiert auch nichts.

Eine Verschlüsselung selbst ist auch nicht sicher, da man dies natürlich durch Rückrechnung des Einmalschlüssels knacken kann.

Hallo,

beim Einsatz des Scriptes newsletter.php für die Anmeldungen/Abmeldungen ist mir Folgendes aufgefallen:

Bestellung
-------------

Das Script versendet zur Bestätigung (double-opt-in) eine Mail an den zukünftigen Abonenten. So will es der Gesetzgeber.

Dabei wird als Absender bzw. Empfänger für die Antwort-Mail diejenige E-Mail-Adresse verwendet, die man bei der personalisierten \"Erzeugung\" des Scriptes angegeben hat.

Sendet nun ein unfreundlich gesinnter Zeitgenosse mit einer gefälschten Absender-Adresse direkt eine Mail an diese Adresse mit dem Subject \"subscribe\" , so wird bei der nächsten Synchronisation im Supermailer diese Adresse in die Empfänger-Liste übernommen, ohne dass jemals ein \"double-opt-in\" stattgefunden hat.

Schlimmer noch: Der Eigentümer der Mail-Adresse merkt dies nicht einmal und wundert sich erst beim nächsten Newsletter-Versand.

Gibt es hier eine Lösung?


Abbestellung
----------------

Die Abbestellung über einen Link via Platzhalter in der jeweiligen Newsletter-Mail ist sehr praktisch.

Allerdings ist die E-Mail-Adresse nicht verschlüsselt, so dass jeder Nutzer jeden anderen Nutzer austragen kann - und der aus der Liste ausgetragene Nutzer würde es noch nicht einmal bemerken.


Eingabe per Browser
-------------------------

Auch hier führt das Script sofort eine Austragung durch, dadurch entsteht das gleiche Problem wie o.g.

newsletter.php?EMail=info@meinedomain.de&Action=unsubscribe


Gibt es für die Probleme einen Lösungsansatz, ohne ein lästiges double-opt-out zu verwenden?


Viele Grüße,

Ralph