Contul de utilizator trebuie să aibă un scop în parcursul aplicației. Nu este necesar să ceri înscriere doar pentru a permite citirea unor informații publice, dacă produsul nu are această nevoie.
Când există date personale și operațiuni protejate, definirea accesului include autentificarea, drepturile și recuperarea. Un ecran de conectare nu acoperă singur toate aceste cerințe.
Definește ce aparține contului
Notează înregistrările, organizațiile și operațiunile asociate utilizatorului. Distinge identitatea persoanei de rolul pe care îl poate avea într-o companie.
Nu presupune că o autentificare reușită permite accesul la toate datele. Permisiunile se verifică pentru acțiunile și resursele concrete ale aplicației.
Alege un parcurs explicabil
Înscrierea și conectarea trebuie să arate informația necesară și rezultatul. Mesajele de eroare trebuie utile fără să expună inutil date.
Implementarea se evaluează după tehnologie și condițiile produsului. Nu inventa un mecanism propriu de securitate doar pentru a reduce numărul de pași din interfață.
Pregătește recuperarea accesului
OWASP recomandă un proces controlat de resetare, inclusiv mesaje consecvente și coduri sau legături cu proprietăți adecvate. Cerințele trebuie implementate și testate în configurația reală.
Nu trimite parola existentă prin email. Suportul nu trebuie să ceară parola persoanei pentru a o ajuta să își recupereze accesul.
Definește schimbările importante
Modificarea datelor de recuperare, retragerea unui rol și închiderea contului trebuie descrise prin procese clare. Condițiile privind datele se validează pentru produs.
O schimbare în interfață nu dovedește că accesul a fost retras din toate sesiunile sau integrările relevante. Verificarea tehnică trebuie inclusă în criteriile proiectului.
Caz demonstrativ: utilizator plecat din organizație
Persoana nu mai trebuie să vadă datele companiei, dar poate avea o identitate folosită și în alt context. Regula trebuie stabilită înainte de implementare.
Nu șterge automat informațiile altor roluri pentru a rezolva retragerea accesului. Aria datelor și responsabilitățile trebuie tratate conform procesului validat.
Pregătește testele de cont
Folosește utilizatori și date sintetice pentru conectare, recuperare și schimbarea rolului. Verifică și mesajele sau legăturile expirate, potrivit mecanismului ales.
Testele nu trebuie să expună date reale sau să trimită mesaje persoanelor neimplicate. Păstrează rezultatul și limitele verificării pentru configurațiile convenite.
Include suportul în proiect
Persoana trebuie să știe unde cere ajutor când nu poate continua. Procedura trebuie să permită verificarea potrivită, fără divulgarea accesului către cineva neautorizat.
Prin formularul ITroom, poți descrie rolurile și datele aplicației. Conturile și recuperarea se evaluează ca funcții tehnice distincte, cu livrabile și teste potrivite produsului.
Verifică mesajul de suport
Pregătește o solicitare demonstrativă pentru acces pierdut. Răspunsul trebuie să conducă spre procedura verificată, fără cererea parolei sau trimiterea accesului către un contact neconfirmat. Notează cine poate interveni și ce informație este necesară pentru fiecare etapă a procesului real.
Ghid editorial ITroom pentru pregătirea unui proiect digital. Exemplele demonstrative se adaptează informațiilor reale ale afacerii; nu reprezintă rezultate garantate sau recomandări profesionale individuale.
Vezi serviciul de dezvoltare aplicații iOS și Android, diferența dintre prototip și produsul funcțional, livrabilele și costurile separate. Începem cu utilizatorii și fluxul pe care trebuie să-l poată finaliza.