Email сайта и проверка доставки писем

Разделите разные назначения email

У сайта может быть адрес отправителя и публичный контакт, у пользователя — адрес для восстановления, у заказа — email для чека. Это не один и тот же реквизит. Изменение публичной почты в подвале не должно менять владельца уже созданной покупки.

В ядре сохранён почтовый механизм сброса пароля. Регистрация без обязательной почты использует резервный код, который показывается один раз. Указанное имя Telegram не доказывает владение аккаунтом и не является основанием отправить новый пароль.

Проверьте реальную доставку

Для почтового восстановления сервер должен уметь отправлять письма. Правила домена и политика хостинга влияют на результат; одно заполненное поле mail_from этого не доказывает. Проверьте получение письма на контролируемом тестовом адресе, время доставки и папку нежелательной почты.

Пример полноценного сценария: запросить восстановление, получить одноразовую ссылку, сменить пароль и убедиться, что повторное применение ссылки отклоняется. Само сообщение «письмо отправлено» в интерфейсе не подтверждает доставку и не должно раскрывать наличие чужого аккаунта.

Подготовьте альтернативу без почты

Пользователь без email должен сохранить резервный код вне сайта. После восстановления код заменяется новым, а прежний становится недействительным. Поддержка не должна просить прислать этот код в переписке.

Секреты SMTP или других сервисов, если добавляется соответствующая интеграция, хранятся в закрытой конфигурации, а не в общедоступных настройках и шаблонах. Документируйте подтверждённый способ доставки своей установки; не обещайте посетителям письмо за фиксированное время без фактического контроля канала.

Продолжить работу

Повторите проверку на отдельной копии сайта. Сопоставьте задачу с возможностями ядра. Другой материал этого раздела: Как измерять скорость страницы CMS.