זהויות

אזהרה: אימות של חשבונות משתמשים הוא נושא מורכב מבחינת פרטיות ואבטחה. כדי לשמור על בטיחות החשבון, כדאי להשתמש בספק זהויות מצד שלישי במקום לבנות מערכת אימות מאובטחת משלכם. מידע נוסף על שיטות מומלצות לאימות חשבון ולניהול סיסמאות

עזרה למשתמשים להירשם

טופס ההרשמה הוא לרוב האינטראקציה הראשונה עם טופס באתר. עיצוב טוב של טופס הרשמה הוא קריטי, וטופס מאובטח הוא חיוני.

כדאי לעיין בטופס הרשמה כדי ללמוד איך לעזור למשתמשים להירשם באתר שלכם.

חשוב להקפיד שטופס ההרשמה יהיה מינימלי, ולהציג רק את אמצעי הבקרה הנדרשים ליצירת חשבון. אל תכפילו את פקדי הטופס כדי לעזור למשתמשים להזין את פרטי החשבון שלהם בצורה נכונה. במקום זאת, אשלח אישור באימייל.

הערה: כדאי לדרוש הרשמה רק אם אתם באמת צריכים אותה. כדי לאחסן מידע בין ניווטים, כדאי להשתמש באחסון בצד הלקוח. בטפסים של תהליך התשלום, מוסיפים כברירת מחדל אפשרות תשלום כאורח. אפשר לשאול לקוחות חדשים אם הם רוצים להירשם אחרי שהם משלימים רכישה, או כשהם מזינים פרטי כתובת.

פרטי החשבון

אתם יכולים לעזור למשתמשים למלא את פרטי החשבון שלהם באמצעות מאפיין autocomplete מתאים. משתמשים ב-autocomplete="email" לשדה האימייל וב-autocomplete="new-password" לשדה של סיסמה חדשה.

מידע נוסף על מילוי אוטומטי של אמצעי קלט

אזהרה: המשתמשים יכולים להדביק תוכן מועתק לתוך שדות של סיסמאות. השבתת ההדבקה מעודדת את המשתמשים לכתוב סיסמאות קלות לזכירה במקום סיסמאות מאובטחות. הבעיה הזו מעצבנת במיוחד משתמשים עם מנהלי סיסמאות, כי היא מונעת מהם להציע סיסמאות מאובטחות ולמלא אותן אוטומטית.

אתם יכולים גם לעזור למשתמשים להזין סיסמה מאובטחת על ידי הוספת לחצן להצגת הסיסמה <button>. מידע נוסף על התבנית reveal-password

אבטחת טופס ההרשמה

לעולם אל תשמרו או תעבירו סיסמאות בטקסט פשוט. חשוב להוסיף מלח ולבצע גיבוב של הסיסמאות – ולא לנסות להמציא אלגוריתם גיבוב משלכם.

מומלץ להציע אימות רב-שלבי, במיוחד אם מאחסנים נתונים אישיים או רגישים. במאמרים שיטות מומלצות לשימוש בסיסמאות חד-פעמיות ב-SMS והפעלת אימות חזק באמצעות WebAuthn מוסבר איך להטמיע אימות רב-גורמי.

לוודא שהמשתמשים לא משתמשים בסיסמאות שנחשפו. לדוגמה, אפשר להשתמש ב-API של Have I Been Pwned כדי לזהות סיסמאות שנחשפו, ולהציע למשתמשים להזין סיסמה חדשה אחרת, או להזהיר אותם אם הסיסמה שלהם נחשפה.

עזרה למשתמשים בכניסה

כאן מוסבר איך ליצור טופס כניסה כדי לוודא שהמשתמשים יכולים להיכנס לאתר שלכם.

הקפידו להציג את לחצני ההרשמה וההתחברות במיקום בולט. מוודאים שאפשר להשתמש בטופס במכשירי מגע:

• גודל יעד ההקשה של הלחצנים הוא לפחות 48 פיקסלים.
• הגודל של רכיבי הטופס font-size מספיק גדול (20px הוא גודל מתאים בנייד).
• יש מספיק רווח (margin) בין אמצעי הבקרה בטופס, והשדות גדולים מספיק (צריך להשתמש ב-padding: 15px לפחות בנייד).

עזרה למשתמשים במילוי כתובת האימייל והסיסמה

לעזור לדפדפנים ולכלים לניהול סיסמאות למלא אוטומטית את פרטי החשבון. משתמשים ב-autocomplete="email" בשדה האימייל וב-autocomplete="current-password" בשדה הסיסמה הנוכחית.

כדי לעזור למשתמשים למלא את פרטי החשבון שלהם באופן ידני, צריך להשתמש ב-type="email" בשדה האימייל כדי להציג את המקלדת הווירטואלית המתאימה במכשירים ניידים.

כדאי להשתמש במאפיין required בשדה של כתובת האימייל והסיסמה, כדי להזהיר מפני ערכים לא תקינים כשהמשתמש שולח את הטופס. כדאי להשתמש באימות בזמן אמת כדי לעזור למשתמשים לתקן נתונים לא תקינים ברגע שהם מזינים אותם, במקום לחכות לשליחת הטופס.

לוודא שהמשתמשים יכולים לראות את הסיסמה שהם הזינו

כברירת מחדל, הטקסט שמזינים ב-<input type="password"> מוסתר כדי לשמור על פרטיות המשתמשים. עוזרים למשתמשים להזין את הסיסמה שלהם, על ידי הצגת <button> להחלפת ההצגה של הטקסט שהוזן.

מידע נוסף על הטמעה של <button>הצגת סיסמה

מוודאים שטופסי ההתחברות וההרשמה נוחים לשימוש

חשוב לבדוק באופן קבוע את טפסי הכניסה וההרשמה באמצעות אנשים אמיתיים כדי לוודא שהאימות פועל כצפוי. כדי לאסוף נתוני שטח, אפשר להשתמש בניתוח נתונים ובמדידה של משתמשים אמיתיים (RUM), וכדי להריץ בדיקות בעצמכם, אפשר להשתמש בכלים כמו Lighthouse ו-PageSpeed Insights. מידע נוסף על בדיקת שימושיות ועל איסוף נתונים אנליטיים

חשוב לוודא שהטפסים פועלים בדפדפנים שונים ובפלטפורמות שונות. כדאי לבדוק את הטופס בגדלים שונים של מסכים, באמצעות המקלדת בלבד, או באמצעות קורא מסך כמו VoiceOver ב-Mac או NVDA ב-Windows.

עזרה למשתמשים לשנות את הגדרות החשבון שלהם

מוודאים שהמשתמשים יכולים לשנות את כל הגדרות החשבון, כולל כתובות אימייל, סיסמאות ושמות משתמש.

להיות שקופים לגבי הנתונים שאתם מאחסנים, ולאפשר למשתמשים להוריד את כל המידע האישי שלהם בכל שלב. מוודאים שהמשתמשים יכולים למחוק את החשבון שלהם אם הם רוצים. יכול להיות שבאזורים מסוימים יש דרישה משפטית לתכונות לניהול החשבון כמו אלה.

מוודאים שהמשתמשים יכולים לעדכן את הסיסמאות שלהם

להקל על המשתמשים לעדכן את הסיסמה שלהם.

לבקש מהמשתמשים את הסיסמה הנוכחית לפני שינוי הסיסמה, ולשלוח אימייל לגבי שינוי הסיסמה עם אפשרות לחזור לסיסמה הקודמת ולנעול את החשבון.

מוסיפים אפשרות לבקשת סיסמה חדשה, ומומלץ לספק כתובת URL של .well-known בקשה לסיסמה חדשה.

משאבים

• תקציר מידע על אחסון סיסמאות
• הסבר על הסיבה הראשונית להשתלטות על חשבון
• אבטחת סיסמאות: מורכבות לעומת אורך
• שיטות מומלצות ליצירת טופס הרשמה
• שיטות מומלצות ליצירת טופס כניסה
• ניהול יעיל של סיסמאות | סשן