Passkey ile parolasız giriş: Portal ve hesap kurtarma planı
· PoolByte Technology
Passkey, kullanıcının her girişte parola yazmak yerine cihazındaki desteklenen doğrulama yöntemini kullanabildiği bir giriş yaklaşımıdır. Müşteri portalında unutulan parola başvurularını azaltabilir. Ancak yalnız giriş düğmesini eklemek yeterli değildir; yeni cihaz, kayıp cihaz ve hesap kurtarma yolları da ürünün parçasıdır.
Sunucuda aynı parola saklanmaz
Passkey yapısında açık anahtar kriptografisi kullanılır. Hizmetin tuttuğu kayıt ile kullanıcının doğrulama aracındaki özel anahtar aynı şey değildir. Parmak izi veya yüz doğrulaması kullanılsa bile biyometrik verinin web sitesine gönderilmesi gerekmez. FIDO Alliance açıklaması, bu yaklaşımın temelini ve farklı kullanım biçimlerini anlatır.
Bu özellik “hesap artık ele geçirilemez” sözü olarak sunulmamalıdır. Kullanıcının cihaz güvenliği, oturumu ve kurtarma yöntemi hâlâ önemlidir. Çok güçlü bir giriş yöntemi kurup zayıf bir destek talebiyle hesabı başkasına devredebilmek, bütün korumayı boşa çıkarır. Kurtarma akışını giriş kadar ciddiye alın.
Alan adı kararı erken verilmeli
WebAuthn doğrulaması belirli bir hizmet kimliği ve origin kontrolleriyle ilişkilidir. Ana site ile müşteri portalının alan adı düzeni uygulamadan önce değerlendirilmelidir. MDN Web Authentication API dokümanı, kayıt ve doğrulama akışlarını açıklar. Sunucu meydan okuması, yanıt doğrulaması ve güvenilir kütüphane seçimi uzmanlık gerektirir.
Bir portalı sonradan başka alan adına taşımayı planlıyorsanız mevcut kimlik bilgilerinin etkilenmesini proje kapsamına ekleyin. Test ortamında üretilen kaydı canlı hesapta kullanabileceğinizi varsaymayın. Kullanıcıya hangi cihaz veya doğrulama aracını kaydettiğini anlaşılır isimlerle göstermek, ileride güvenli kaldırma işlemini kolaylaştırır.
İlk kurulum ve kurtarma deneyimi
Passkey kaydını mevcut oturumda hassas bir hesap değişikliği olarak ele alın. Yeni kayıt ekleme, kayıt kaldırma ve kurtarma işlemleri denetlenebilir olmalıdır. Kullanıcıya hesabında birden fazla desteklenen yöntem tutma imkânı sunulabilir; hangi yöntemlerin kabul edildiği şirket politikasına bağlıdır.
Bir telefonun kaybolduğunu düşünün. Kullanıcının diğer cihazdan erişip kayıp kaydı kaldırabilmesi, destek ekibinin ise kimlik doğrulamasını atlamadan yardımcı olabilmesi gerekir. Yardım metni, cihaz sağlayıcısının senkronizasyonu ile sitenin hesap kurtarmasının farklı süreçler olduğunu açıklamalıdır. Her passkey’in aynı şekilde taşındığını veya senkronize edildiğini söylemeyin.
Yayın öncesi deneme seti
- Yeni kayıt, sonraki giriş ve kayıt kaldırma.
- Desteklenmeyen tarayıcıda anlaşılır alternatif.
- Birden fazla kayıt ve farklı cihaz kullanımı.
- Oturum süresi dolduktan sonra hassas işlem doğrulaması.
- Kaybedilen cihaz ve başarısız kurtarma talebi.
- Portal alan adı ile test ortamının ayrılığı.
Başarıyı yalnız kayıt sayısıyla ölçmeyin. Tamamlanan giriş, yarıda kalan kurulum ve kurtarma başvurularını da izleyin. Genel ekip erişimi kuralları korunurken passkey, kimlik doğrulamanın yeni bir yolu olarak değerlendirilmelidir; yetki verme ve oturum yönetimi ayrıca çalışmaya devam eder.