Trong quá trình tạo tài khoản, tốt hơn là tạo mật khẩu tự động và gửi nó cho người dùng, hoặc để người dùng tạo mật khẩu của riêng mình?

Câu hỏi này được đưa ra hôm nay trong khi thảo luận với một đồng nghiệp về trang 'tạo tài khoản' cho trang web chúng tôi đang làm việc.

Ý kiến ​​của đồng nghiệp của tôi là chúng ta nên đăng ký nhanh và liền mạch nhất có thể, do đó chúng ta chỉ nên yêu cầu người dùng cho email của mình và chăm sóc phần còn lại.

Tôi đồng ý với ý định này, nhưng tôi có một vài lo ngại về nó:

• Vì chúng tôi tạo mật khẩu, chúng tôi có trách nhiệm đảm bảo mật khẩu đủ mạnh
• Theo kinh nghiệm của tôi, khi đối mặt với một mật khẩu khó hiểu, người dùng có khả năng viết nó xuống trên một bài đăng nó
• Những người dùng không ghi lại mật khẩu, rất có thể sẽ quên nó. Điều đó có nghĩa là họ sẽ phải yêu cầu mật khẩu mới thường xuyên và điều đó không vui cho bất cứ ai

Tuy nhiên, xem xét chất lượng chung của mật khẩu do người dùng tạo và thực tế là có quá nhiều người có xu hướng sử dụng cùng một mật khẩu cho mọi thứ ('rùng mình'), tôi có thể thấy việc tạo mật khẩu mạnh cho họ có ý nghĩa như thế nào.

Tôi vẫn cảm thấy bị giằng xé về nó. Chúng tôi đang làm việc trên một trang web thương gia nơi người dùng có tùy chọn lưu chi tiết thẻ tín dụng của mình, vì vậy rõ ràng điều rất quan trọng là chúng tôi sử dụng phương pháp an toàn nhất.

Ưu điểm của cách tiếp cận email là bạn đảm bảo bằng cách này người dùng đã cung cấp một tài khoản email hợp lệ mà anh ấy / cô ấy kiểm soát.

Tuy nhiên, kênh email nổi tiếng là không an toàn. Điều này có nghĩa là mật khẩu có thể bị chặn. Vì vậy, cách tiếp cận này chỉ nên được xem xét nếu mật khẩu được tạo chỉ được sử dụng một lần, lần đăng nhập đầu tiên và nếu nó đảm bảo rằng người dùng phải thay đổi nó.

Cách tiếp cận trực tiếp an toàn hơn, theo nghĩa là kết nối tls / ssl đến trang web của bạn khó bị chặn hơn nhiều mà không bị chú ý.