Фото: Том Симпсон
Онлайн-учетные записи дают пользователям конфиденциальность, контроль и индивидуальный подход (представьте себе Facebook без учетных записей!). Управление учетными записями — регистрация и вход в систему — это, следовательно, необходимое зло. За исключением случаев, когда что-то идет не так, ни один пользователь не любит и не заботится об управлении аккаунтом, он просто хочет получить доступ к сервису.
Вы можете сделать управление аккаунтом менее злым, следуя трем маленьким правилам:
- 1. Не заставляйте пользователя угадывать
- Почти каждый сервис в Интернете обрабатывает управление учетными записями немного по-своему. В результате вы должны четко указать требования к вашему сервису. Иначе ты просто жесток.
- 2. Баланс безопасности с удобством использования
- Часто сотрудники службы безопасности настаивают на подходе, который ставит под угрозу пользовательский опыт. Это глупо, потому что плохое юзабилити приведет к обходным путям, а обходные пути в свою очередь приведут к ослаблению безопасности. Вместо этого стремитесь к дизайну, который является одновременно безопасным и удобным.
- 3. Сохраняйте это простым
- Управление учетной записью является одним из ваших самых больших потенциальных барьеров для использования. Сделайте барьер практически невидимым благодаря простому, бесшовному, безболезненному дизайну.
Давайте посмотрим, как эти три правила могут быть применены к регистрации и входу в систему. Мы обсуждаем регистрацию ниже; вход будет описан во второй статье, которая скоро появится.
Процесс регистрации пользователя
Правило № 1: не заставляйте пользователя угадывать
- Предупредите пользователя — в идеале, прежде чем он начнет — если ему придется что-то сделать для проверки, прежде чем будет создана его учетная запись.
- Сообщите пользователю, если служба автоматически устанавливает имена пользователей.
- Разрешите — но не настаивайте — войдите в систему с помощью сторонних сервисов, таких как Facebook или Twitter.
- Укажите любые требования к имени пользователя или паролю, прежде чем вводить эту информацию [1] . В частности, сообщите пользователю:
- есть ограничения по длине, символам, словам или фразам
- пробелы — и, следовательно, парольные фразы — разрешены
- такие поля чувствительны к регистру.
Пример: что не делать.
Amazon не объясняет свои требования к паролю до тех пор, пока форма не будет отправлена и выбранный пароль не будет действителен. Насколько сложно было бы поместить «С учетом регистра, минимум 6 символов» под первым полем пароля?
Пример: лучший подход.
Wufoo открыто говорит о требованиях к паролям.
Правило № 2: баланс безопасности с удобством использования
- Избегайте установки ограничений на имена пользователей.
- Избегать сложных парольных требований; это приведет только к тому, что пользователи будут записывать свой пароль и / или использовать одни и те же пароли для нескольких служб.
- Если у вас есть измеритель надежности пароля, убедитесь, что он отражает современную практику, в противном случае не используйте его вообще.
Пример: что не делать.
Ebay — который недавно перенес массивное нарушение данных и ответил смущающе плохо — не допускает парольных фраз (несколько слов, разделенных пробелами). Тем не менее, многие считают парольные фразы наиболее практичным, безопасным и удобным подходом к паролям (см., Например, [2] и [3] ).
Пример: лучший подход.
Envato разрешить парольные фразы. Введенная мной фраза «Это фраза».
Правило № 3: будь проще
- Избегайте повторяющихся полей (например, запрашивая ввод пароля дважды) и вместо этого предоставьте простой (но безопасный) способ сброса таких данных. (Подробнее о повторяющихся полях см. [4] ).
- Спросите, что вам нужно для создания учетной записи; Вы всегда можете спросить о других вещах позже.
- Не спрашивайте личную информацию (например, дату рождения), если она вам действительно не нужна.
- Встроенная проверка — это хорошо, но не делайте этого, пока у пользователя не будет достаточно времени для ввода данных.
Пример: что не делать.
Deals.com.au требует двойной записи на адрес электронной почты и пароль!
Пример: лучший подход.
Trivago делает все очень просто.
Следите за публикацией второй части этой статьи, которая скоро будет опубликована!
- Некоторые эксперты по безопасности утверждают, что вы не должны раскрывать требования к паролям для пользователей, потому что это дает подсказки хакерам. Проблема с этим аргументом, на мой взгляд, заключается в том, что требования должны быть раскрыты, если предоставленный пароль недействителен, поэтому хакер-хакер может выставить требования, просто введя «p» или что-то такое же неудовлетворительное, отправив форму, и запуск сообщения об ошибке проверки.
Кроме того, я думаю, что это безумие — делать опыт непригодным для массы законных пользователей, просто (мягко) расстраивая горстку хакеров в черной шляпе. Лучше добиться безопасности с помощью других средств.
- Удобство использования паролей
- Надежность Пароля
- Двойной ввод полей формы