GDS Digital Service Manual 中文翻譯網站 (beta)
by HPX-GOV 英國政府數位服務研究小組 GDS Study Group
Home » 英國政府數位服務設計手冊 » 建造軟體 (Making software) » 使用者帳戶與登入(User accounts and logins)

使用者帳戶與登入(User accounts and logins)

如何做好登入以及如何避免需要登入

GDS建議團隊不要建造登入系統

建造登入系統不是一項簡單的任務。雖然眾多的自由軟體程式庫使得在你的服務中加入登入功能變得微不足道,但一旦你加入此功能你就:

  • 顯著地增加你對使用者支援的固定成本 (當人們忘記如何登入、忘記密碼等等)
  • 收集到的個人資料使你需要不斷地檢視及保護
  • 增加一個相對複雜的互動讓使用者來達成

尋找替代方案

許多使用登入系統的功能往往可以利用其他 (而且可能更有效) 的方式來達成。

例如:只要提供使用者記下特定 URL 的方法,儲存搜尋結果並不需要登入。取代讓使用者登入的方法,你可以:

  • 提供幫助傳送 URL 到 email 的工具
  • 提供使用者在瀏覽器建立書籤的說明。
  • 記下使用者的 email 並在搜尋結果改變時提醒使用者。

具體細節會根據使用者對您服務的需求而不同,但如果有讓使用者登入的替代方案─就使用它吧!

當沒有替代方案時

如果在仔細的檢視與設計後,除了利用登入系統外沒有其他選擇,你需要考慮:

  • 誰是你提供登入服務的對象─少部分的代理人 (行政人員、信任的合作夥伴等等) 或是大範圍的公民或商家?
  • 您是否有足夠的使用者資料─足以與使用者建立信任或你是否需要將他們和其他服務做比較 (無論線上或線下)。

如果你是為少數身分明確的代理人打造服務,實行上可能是比較安全的。確定任何為你系統所寫的驗證與授權碼被小心地和應用程式分開,因此你可以:

  • 特別監控試圖存取該系統的嘗試,如:
    • 短時間內多次登入失敗的嘗試
    • 一段長時間內,某帳戶一連串登入失敗的嘗試
  • 將使用者的資料和你所持有的其他資料分開,以免收集大量可識別身分的資訊。
  • 換到新的認證系統 (如身分確認計畫) 而無須侵略性地改動您其他的程式碼。

當您需進行下列動作時,先閱讀身分確認團隊發表的建議

  • 為大範圍的公民或商家打造一個系統
  • 和其他系統進行精細的比較,如此你可以在你的使用者身上建立信心。

憑證

您應該幫助使用者挑選安全性強的密碼或密碼短語,並考量為了安全性而採用第二方式驗證是否適切。

因為最小的密碼短語應有八個字母的長度,並包括字母、數字及符號的組合,但理想上密碼短語應比八個字母長。我們所稱的密碼短語,通常是個比一組短的符號組合或單字還要好記但難猜的短語。

在某些GOV.UK的管理系統,我們使用zxcvbn程式庫來測量電腦使用蠻力方法,來破解密碼短語的困難度。該程式庫可用來驗證新密碼短語及督促使用安全性強的密碼短語。雖然只是一項措施,但它增強了我們對使用者選擇安全性強的密碼短語的信心。

所有新的政府服務都應該要被儲存於 HTTPS,以確保使用者與服務之間的對話能被加密。這在登入服務中尤為重要。

低使用率

電子執照管理系統 (ELMS) 認可商務通 (Business Link暫譯) 應用系統需登入才能完成申請。在為 GOV.UK 建造該系統的新版本時,我們移除了登入的要求,使用率便可觀地增加。目前仍有登入系統提供給當地主管部門認證的使用者,他們需要處理這些應用程式。

延伸閱讀

譯者:鐘育君
校稿者:Sharon Wang
原始出處:https://www.gov.uk/service-manual/making-software/logins.html

請留言

你的email信箱不會被發布出來. Required fields are marked *

*