Klucze dostępu szybko stają się bezpieczniejszą, łatwiejszą i szybszą alternatywą dla haseł, zapewniając większą ochronę i wygodę dla użytkowników. Aby w pełni wykorzystać potencjał kluczy dostępu, należy dokładnie przeanalizować wrażenia użytkownika związane z zarządzaniem nimi. W tym dokumencie znajdziesz wskazówki i opcjonalne funkcje, które pomogą Ci zaprojektować intuicyjny, bezpieczny i solidny system zarządzania kluczami dostępu.
Zarządzanie wieloma kluczami dostępu
Zezwalanie użytkownikom na dodawanie wielu kluczy dostępu i używanie więcej niż jednego dostawcy. Nie pozwól im jednak dodać więcej niż 1 klucza dostępu do tego samego konta u tego samego dostawcy. Jeśli użytkownik utraci dostęp do jednego dostawcy, na przykład gdy platforma go nie obsługuje, lub gdy użytkownik utraci do niego dostęp, nadal będzie mógł zalogować się za pomocą innego klucza dostępu od innego dostawcy. Takie ustawienie zmniejsza ryzyko zablokowania konta. Upewnij się, że baza danych obsługuje przechowywanie wielu kluczy dostępu na użytkownika.
Wyświetlanie listy zarejestrowanych kluczy dostępu
Twoja witryna lub aplikacja powinna wyświetlać zarejestrowane klucze dostępu na liście z kluczowymi szczegółami, aby ułatwić użytkownikom ich skuteczne zarządzanie. Zrzut ekranu pokazujący, jak może wyglądać strona zarządzania kluczami dostępu. Pokazuje, jak użytkownik może tworzyć klucze dostępu na różnych platformach, oraz zapewnia centralne miejsce do ich zarządzania.
Oto niektóre z najczęstszych informacji i funkcji, które witryny i aplikacje mogą wyświetlać w przypadku klucza dostępu:
- Nazwa klucza dostępu: wyświetla nazwę klucza dostępu, która została podana w momencie rejestracji. W najlepszym przypadku nazwa ta odpowiada nazwie dostawcy kluczy dostępu, na podstawie której została utworzona na podstawie identyfikatora AAGUID. Jeśli nie uda się znaleźć pasującego dostawcy kluczy, nazwanie go na podstawie informacji o urządzeniu na podstawie ciągu tekstowego klienta powinno wystarczyć.
- Logo dostawcy kluczy dostępu: wyświetla logo dostawcy kluczy dostępu. Dzięki temu użytkownik może zidentyfikować klucz dostępu, którym chce zarządzać.
- Sygnatura czasowa utworzenia i ostatniego użycia klucza dostępu: zapisywanie i wyświetlanie sygnatury czasowej utworzenia i ostatniego użycia klucza dostępu może pomóc użytkownikowi zidentyfikować klucz, którym chce zarządzać.
- Wskaźnik braku synchronizacji: klucze dostępu są domyślnie synchronizowane, ale funkcja synchronizacji kluczy dostępu u dostawców wciąż ewoluuje. Jest to częsty problem, gdy klucz dostępu nie synchronizuje się zgodnie z oczekiwaniami użytkownika. Wyświetlanie informacji o niemożności synchronizacji klucza dostępu może pomóc użytkownikom w rozwiązaniu tej kwestii.
- Przycisk Usuń: pozwala użytkownikom usunąć klucz dostępu. Więcej informacji znajdziesz w artykule Zezwalanie na usuwanie klucza dostępu.
- Przycisk Edytuj: wielu użytkowników docenia możliwość zmiany nazwy klucza dostępu. Na przykład gdy istnieje wiele kluczy dostępu od tego samego dostawcy, ale na różnych kontach. Wyobraź sobie, że zapisujesz kilka kluczy dostępu na różnych kontach Google. Pozwalając użytkownikowi na zmianę nazwy klucza dostępu, możesz umożliwić mu zmianę nazwy na dowolną inną.
- Adres IP, przeglądarka lub system operacyjny ostatniego logowania: opcjonalne podanie szczegółów dotyczących ostatniego logowania pomaga użytkownikowi zidentyfikować podejrzane logowania. Przydatne mogą być informacje o przeglądarce, systemie operacyjnym lub adresie IP (lub lokalizacji) użytym do zalogowania.
Zezwalanie na usuwanie klucza dostępu
Zezwalanie użytkownikom na usuwanie kluczy dostępu. Pomaga to uporządkować listę, na przykład gdy użytkownik przełączy się na nowe urządzenie, ale powiązany klucz dostępu jest powiązany ze starszym urządzeniem. Jest to też przydatne, gdy atakujący przejmuje konto użytkownika i tworzy klucz dostępu do wykorzystania w przyszłości.
Przekazanie informacji o zaktualizowanej liście kluczy dostępu
Usunięcie klucza dostępu powoduje usunięcie z bazy danych serwera wpisu danych logowania i klucza publicznego. W ten sposób klucz dostępu zniknie z listy zarejestrowanych kluczy dostępu, a użytkownik zobaczy, że został usunięty. W rzeczywistości klucz jest tylko usuwany z serwera, a klucz dostępu przechowywany przez dostawcę nadal pozostaje, co może wprowadzać w błąd. Gdy użytkownik następnym razem spróbuje się zalogować, usunięty klucz dostępu nadal będzie widoczny jako opcja logowania. Jednak uwierzytelnianie za jego pomocą zakończy się niepowodzeniem, ponieważ pasujący klucz publiczny został już usunięty z serwera.
Aby uniknąć nieporozumień, klucz dostępu na stronie dostawcy i klucz publiczny na serwerze powinny być takie same. Możesz to zrobić, przesyłając zaktualizowaną listę kluczy dostępu do dostawcy kluczy dostępu. Jeśli przeglądarka i dostawca kluczy dostępu obsługują interfejs Signal API, mogą aktualizować listę kluczy dostępu i usuwać niepotrzebne klucze. Jeśli nie obsługują interfejsu API, zachęć użytkownika do ręcznego usunięcia klucza dostępu.
Usuwanie ostatniego klucza dostępu
Jeśli użytkownik spróbuje usunąć ostatni klucz dostępu do danego konta, upewnij się, że wie, że będzie musiał zalogować się za pomocą innej opcji, która może być mniej wygodna i nie zapewniać tak dobrej ochrony. Jeśli jest to jedyna metoda logowania się w Twojej witrynie, użytkownik nie będzie mógł się ponownie zalogować. Poinformuj użytkowników, jak mogą zalogować się następnym razem, na przykład za pomocą metody zapasowej (jeśli jest dostępna) lub poproś o zarejestrowanie innego klucza dostępu. To dobra okazja do zebrania opinii na temat tego, dlaczego użytkownicy nie chcą używać klucza dostępu.
Zezwalanie na tworzenie nowych kluczy dostępu
Chociaż użytkownicy mogą tworzyć klucze dostępu w różnych momentach ścieżki użytkownika (np. zaraz po zalogowaniu się), ważne jest, aby mieli centralny punkt, w którym zawsze mogą tworzyć nowe klucze dostępu, usuwać je i nimi zarządzać. Najlepiej zrobić to na ekranie zarządzania kluczami.
Aby utworzyć proces logowania z kluczem dostępu, postępuj zgodnie z instrukcjami dotyczącymi tworzenia kluczy dostępu do logowania bez hasła w Przewodniku dla deweloperów. Aby zwiększyć bezpieczeństwo, rozważ zezwolenie użytkownikom na tworzenie kluczy dostępu na kluczu bezpieczeństwa sprzętowym. Użytkownicy, którzy chcą zarządzać kluczami dostępu, są zwykle bardziej doświadczeni i mają więcej wiedzy, więc umożliwienie im tworzenia kluczy dostępu na kluczu bezpieczeństwa zwiększa elastyczność.
Aby umożliwić zapisywanie kluczy dostępu na fizycznym kluczu bezpieczeństwa, nie zaznaczaj opcji authenticatorSelection.authenticatorAttachment, zamiast tego ustaw ją na "platform" w prośbie o utworzenie klucza dostępu. W ten sposób przeglądarka akceptuje zarówno uwierzytelniacze platformy (urządzenia), jak i uwierzytelniacze roamingowe (klucz bezpieczeństwa), bez znaczącej zmiany wrażenia użytkownika w porównaniu z użyciem tylko uwierzytelniania platformy. Opcja utworzenia klucza dostępu na kluczu bezpieczeństwa będzie widoczna jako opcja dodatkowa.
Lista kontrolna
- Zezwalanie użytkownikom na zarządzanie kluczami dostępu na stronie zarządzania kluczami dostępu.
- Obsługa rejestrowania wielu kluczy dostępu.
- Zezwalanie użytkownikom na dodawanie nowych i elastycznych typów kluczy dostępu na stronie zarządzania.
- Wyświetl nazwę klucza.
- Określa, czy klucz dostępu można zsynchronizować.
- Zezwalanie użytkownikom na usuwanie klucza publicznego z serwera.
- Przekazywanie informacji o liście kluczy dostępu, gdy powiązany klucz publiczny zostanie usunięty z serwera.
Inne przewodniki dotyczące UX
- Ogólne przewodniki po UX kluczy dostępu
- Przewodniki dotyczące Androida