Lors de la création du compte, est-il préférable de générer automatiquement le mot de passe et de l'envoyer à l'utilisateur, ou de laisser l'utilisateur créer son propre mot de passe?

11

Cette question a été posée aujourd'hui lors d'une discussion avec un collègue sur la page "créer un compte" du site Web sur lequel nous travaillons.

L'opinion de mon collègue est que nous devrions rendre l'enregistrement aussi rapide et transparent que possible, donc nous devons simplement demander à l'utilisateur son e-mail et nous occuper du reste.

Je suis d'accord avec l'intention, mais j'ai quelques inquiétudes à ce sujet:

  • Puisque nous générons le mot de passe, nous avons la responsabilité de nous assurer que le mot de passe est suffisamment solide
  • D'après mon expérience, lorsqu'ils sont confrontés à un mot de passe inintelligible, les utilisateurs sont susceptibles de l'écrire sur un post
  • Les utilisateurs qui n'écrivent pas le mot de passe l'oublieront probablement. Ce qui signifie qu'ils devront demander un nouveau mot de passe régulièrement, et ce n'est amusant pour personne

Cependant, compte tenu de la qualité générale des mots de passe créés par les utilisateurs et du fait que trop de gens ont tendance à utiliser le même mot de passe pour tout (`` frissons ''), je peux voir comment il serait logique de générer un mot de passe fort pour eux.

Je me sens encore déchiré. Nous travaillons sur un site marchand où l'utilisateur a la possibilité d'enregistrer les détails de sa carte de crédit, il est donc très important que nous utilisions l'approche la plus sécurisée.

security passwords Dryr
la source
3
Je suppose que quelqu'un doit faire référence à ceci: xkcd: Password Strength
candied_orange
@CandledOrange Référence XKCD obligatoire
Dryr
11
En tant que consommateur, le moment où j'utilise votre site et que vous générez un mot de passe pour moi, c'est le moment où je supprime mon compte.
Eric King
4
Peut-être que cette question convient mieux à User Experience SE . Il y a déjà une question similaire avec des réponses intéressantes également: Souhaitez-vous vous débarrasser du champ de mot de passe dans le formulaire d'inscription .
insertusernamehere
19
Les e-mails ne sont pas un canal de communication sécurisé. N'envoyez pas de mots de passe par e-mail. Les jetons qui ne sont valables que pendant une courte période (par exemple 24 heures) peuvent être corrects. Vous ne pouvez pas éviter les mots de passe, mais vous pouvez encourager l'utilisation de gestionnaires de mots de passe: des logiciels dédiés, les fonctionnalités du navigateur "se souvenir de mon mot de passe" et les blocs-notes physiques sont tous des stratégies légitimes. Fournir un mot de passe n'encourage pas de bonnes habitudes de sécurité. De plus, implémentez des options de connexion telles que "se connecter avec Google" où vous ne stockez pas de mots de passe. Utilisez des processeurs de paiement externes pour ne pas avoir à faire confiance à votre site avec mes informations de paiement.
amon

Réponses:

11

L'avantage de l'approche par courrier électronique est que vous vous assurez de cette manière que l'utilisateur a fourni un compte de messagerie valide qu'il contrôle.

Cependant, le canal de messagerie est notoirement peu sûr. Cela signifie que le mot de passe pourrait être intercepté. Cette approche ne doit donc être envisagée que si le mot de passe généré n'est utilisé qu'une seule fois, lors de la première connexion, et s'il est garanti que l'utilisateur doit le modifier.

L'approche directe est plus sécurisée, dans le sens où une connexion tls / ssl à votre site web est beaucoup plus difficile à intercepter sans être remarquée.

Christophe
la source
2
Habituellement, les deux approches sont utilisées ensemble: entrez l'e-mail et le mot de passe, puis recevez un e-mail contenant un lien d'activation.
mouviciel
@mouviciel oui, en effet. Cette approche en deux étapes avec mot de passe et lien semble être l'approche la plus couramment utilisée, et certainement pas sans raison :-) C'est plus sûr, car en général le lien d'activation n'est utilisé que pour l'activation et non pour la connexion. Pour l'OP, cela nécessiterait le développement de la logique d'envoi du lien d'activation et le suivi de l'activation sur compte.
Christophe