منتشر شده: ۱۵ مه ۲۰۲۵
کلیدهای عبور به سرعت به عنوان جایگزینی امنتر، آسانتر و سریعتر برای رمزهای عبور در حال ظهور هستند و امنیت و راحتی بیشتری را برای کاربر فراهم میکنند. برای تحقق کامل پتانسیل کلیدهای عبور، باید به تجربه کاربری پیرامون مدیریت آنها توجه دقیقی شود. این سند، دستورالعملها و ویژگیهای اختیاری را برای طراحی یک سیستم مدیریت کلید عبور بصری، ایمن و قوی تشریح میکند.
مدیریت چندین رمز عبور
به کاربران اجازه دهید چندین کلید عبور اضافه کنند و از بیش از یک ارائهدهنده استفاده کنند. اما به آنها اجازه ندهید بیش از یک کلید عبور برای یک حساب کاربری با همان ارائهدهنده اضافه کنند . اگر کاربری دسترسی به یک ارائهدهنده را از دست بدهد، مثلاً زمانی که پلتفرم از آن پشتیبانی نمیکند، یا کاربر دسترسی به آن را از دست بدهد، همچنان میتواند با کلید عبور دیگری از یک ارائهدهنده متفاوت وارد سیستم شود. این تنظیم خطر قفل شدن حساب را کاهش میدهد. مطمئن شوید که پایگاه داده شما از ذخیره چندین کلید عبور برای هر کاربر پشتیبانی میکند.
نمایش لیستی از رمزهای عبور ثبت شده
وبسایت یا برنامه شما باید کلیدهای عبور ثبتشده را در فهرستی به همراه جزئیات کلیدی نمایش دهد تا به کاربران در مدیریت مؤثر آنها کمک کند. این تصویر، ظاهر یک صفحه مدیریت کلید عبور اختصاصی را نشان میدهد. این تصویر نشان میدهد که چگونه یک کاربر میتواند کلیدهای عبور را در چندین پلتفرم ایجاد کند و یک مکان متمرکز برای مدیریت آنها فراهم میکند.
در اینجا برخی از جزئیات و ویژگیهای رایجی که وبسایتها و برنامهها میتوانند در مورد رمز عبور نمایش دهند، آورده شده است:
- نام رمز عبور : نام رمز عبوری را که در زمان ثبت نام داده شده است نمایش میدهد. در حالت ایدهآل، این نام با ارائهدهنده رمز عبوری که بر اساس AAGUID ایجاد شده است، مطابقت دارد. اگر هیچ ارائهدهنده رمز عبوری مطابق پیدا نشد، نامگذاری آن بر اساس اطلاعات دستگاه بر اساس رشته عامل کاربر باید مناسب باشد.
- لوگوی ارائه دهنده کلید عبور : لوگوی ارائه دهنده کلید عبور را نمایش دهید. این به کاربر کمک میکند تا کلید عبوری را که میخواهد مدیریت کند، شناسایی کند.
- مهر زمانی آخرین باری که کلید عبور ایجاد و استفاده شده است : ثبت و نمایش مهر زمانی ایجاد کلید عبور و آخرین باری که از آن استفاده شده است، میتواند به کاربر در شناسایی کلید عبوری که میخواهد مدیریت کند نیز کمک کند.
- نشانگر عدم همگامسازی : کلیدهای عبور به طور پیشفرض همگامسازی میشوند، اما قابلیت همگامسازی ارائهدهندگان کلید عبور هنوز در حال تکامل است. این یک سردرگمی رایج است که یک کلید عبور علیرغم انتظار کاربر همگامسازی نمیشود. نشان دادن عدم قابلیت همگامسازی یک کلید عبور میتواند به کاربران در روشن شدن این سردرگمی کمک کند.
- دکمه حذف : به کاربران اجازه دهید کلید عبور را حذف کنند. برای جزئیات بیشتر به بخش «اجازه حذف کلید عبور» مراجعه کنید.
- دکمه ویرایش : بسیاری از کاربران از امکان تغییر نام رمز عبور استقبال میکنند. به عنوان مثال، وقتی چندین رمز عبور از یک ارائه دهنده رمز عبور اما با حسابهای ارائه دهنده مختلف وجود دارد. تصور کنید که چندین رمز عبور را در حسابهای مختلف گوگل ذخیره میکنید. با اجازه دادن به کاربر برای تغییر نام رمز عبور، میتوانند آن را به نامی که دوست دارند تغییر دهند.
- آخرین مرورگر، سیستم عامل یا آدرس IP ورود : ارائه جزئیات مربوط به آخرین ورود به سیستم به صورت اختیاری به کاربر کمک میکند تا ورودهای مشکوک را شناسایی کند. مرورگر، سیستم عامل یا آدرس IP (یا مکان) مورد استفاده برای ورود به سیستم میتواند اطلاعات بسیار خوبی باشد.
اجازه حذف رمز عبور
به کاربران اجازه دهید کلید عبور را حذف کنند. این به آنها کمک میکند تا لیست را مرتب کنند، به عنوان مثال، زمانی که کاربر به دستگاه جدیدی سوئیچ میکند اما کلید عبور مرتبط با آن به دستگاه قدیمیتر متصل است. همچنین زمانی که یک مهاجم یک حساب کاربری را میدزدد و یک کلید عبور برای استفادههای بعدی ایجاد میکند، مفید است.
لیست بهروز شدهی رمزهای عبور را علامت دهید
حذف یک کلید عبور، ورودی اعتبارنامه و کلید عمومی آن را از پایگاه داده سرور حذف میکند. به این ترتیب، کلید عبور از لیست کلید عبور ثبت شده ناپدید میشود و برای کاربر اینگونه به نظر میرسد که کلید عبور حذف شده است. با این حال، در واقع، فقط از سرور حذف میشود و کلید عبور ذخیره شده در ارائه دهنده کلید عبور همچنان باقی میماند، که میتواند باعث سردرگمی شود. دفعه بعد که کاربر سعی در ورود به سیستم کند، کلید عبور حذف شده همچنان به عنوان گزینه ورود به سیستم ظاهر میشود. اما، احراز هویت با آن ناموفق خواهد بود، زیرا کلید عمومی مربوطه از قبل از سرور حذف شده است.
برای جلوگیری از سردرگمی، مهم است که کلید عبور روی ارائهدهنده کلید عبور و کلید عمومی روی سرور با هم سازگار باشند. میتوانید با ارسال لیست بهروز شده کلیدهای عبور به ارائهدهنده کلید عبور، به این هدف دست یابید. اگر مرورگر و ارائهدهنده کلید عبور از API سیگنال پشتیبانی میکنند، میتوانند لیست کلیدهای عبور را بهروزرسانی کرده و کلیدهای عبور غیرضروری را حذف کنند. اگر از API پشتیبانی نمیکنند، کاربر را تشویق کنید که کلید عبور را بهصورت دستی حذف کند.
آخرین رمز عبور را حذف کنید
اگر کاربری سعی کند آخرین رمز عبور باقیمانده خود را برای یک حساب کاربری حذف کند، مطمئن شوید که متوجه شده است که باید با گزینه دیگری با اصطکاک بیشتر و احتمالاً محافظت کمتر وارد سیستم شود. اگر این تنها روش ورود آنها به سایت شما باشد، دیگر نمیتوانند دوباره وارد سیستم شوند. به کاربران اطلاع دهید که دفعه بعد چگونه میتوانند وارد سیستم شوند، مثلاً در صورت امکان از یک روش پشتیبان استفاده کنند یا قبل از ادامه، از آنها بخواهند که یک رمز عبور دیگر ثبت کنند. این فرصت خوبی است تا بازخورد آنها را در مورد اینکه چرا از رمز عبور استفاده نکردهاند، جمعآوری کنید.
اجازه ایجاد کلیدهای عبور جدید
اگرچه فرصتهایی برای ایجاد کلیدهای عبور در طول مسیر کاربر وجود دارد (مثلاً بلافاصله پس از ورود به سیستم)، اما داشتن یک مرکز مرکزی که کاربران همیشه بتوانند برای ایجاد کلیدهای عبور جدید، حذف کلیدهای عبور و مدیریت آنها به آنجا مراجعه کنند، بسیار مهم است. صفحه مدیریت کلید عبور بهترین مکان برای این کار است.
برای ایجاد جریان کاربری کلید عبور، راهنمای توسعهدهندگان «ایجاد کلید عبور برای ورودهای بدون رمز عبور» را دنبال کنید. برای امنیت پیشرفته، به کاربران اجازه دهید کلید عبور را روی یک توکن امنیتی سختافزاری ایجاد کنند. میتوانید انتظار داشته باشید کاربرانی که مایل به مدیریت کلیدهای عبور هستند، آگاهتر یا باتجربهتر باشند، بنابراین اجازه دادن به آنها برای ایجاد کلید عبور روی کلید امنیتی خود، انعطافپذیری بهتری را فراهم میکند.
برای اینکه امکان ذخیره کلیدهای عبور در یک توکن امنیتی سختافزاری فراهم شود، به جای تنظیم آن روی "platform" در درخواست ایجاد کلید عبور، authenticatorSelection.authenticatorAttachment را بدون تنظیم رها کنید. به این ترتیب، مرورگر هر دو احراز هویت پلتفرم (دستگاه) و رومینگ (کلید امنیتی) را میپذیرد، بدون اینکه تجربه کاربری تفاوت قابل توجهی با اجازه دادن به یک احراز هویت پلتفرم داشته باشد. گزینه ایجاد کلید عبور روی یک کلید امنیتی به عنوان یک گزینه ثانویه ظاهر میشود.
چک لیست
- به کاربران اجازه دهید کلیدهای عبور را در صفحه مدیریت کلید عبور مدیریت کنند.
- پشتیبانی از ثبت چندین رمز عبور.
- به کاربران اجازه دهید انواع جدید و انعطافپذیری از کلیدهای عبور را در صفحه مدیریت اضافه کنند.
- نام رمز عبور را نمایش دهید.
- مشخص کنید که آیا رمز عبور قابل همگامسازی است یا خیر.
- به کاربران اجازه دهید کلید عمومی را از سرور حذف کنند.
- وقتی یک کلید عمومی مرتبط از سرور حذف میشود، فهرست کلیدهای عبور را علامتگذاری کنید.
سایر راهنماهای UX
- راهنماهای عمومی تجربه کاربری کلید عبور
- راهنماهای اندروید