Mots de passe oubliés - y a-t-il un réel avantage à demander des conseils de mot de passe mémorables lors de l'inscription?
Sur plusieurs formulaires d'inscription, je vois des champs tels que "Choisissez votre question de mot de passe mémorable". Est-ce vraiment bénéfique de nos jours? Une méthode sûrement plus sûre si quelqu'un oublie son mot de passe est de créer un service pour lui envoyer un lien sécurisé pour réinitialiser son mot de passe? De plus, que se passe-t-il s'ils ne peuvent pas penser à une information mémorable au moment où on leur demande de la saisir dans un formulaire? Certes, les champs moins obligatoires sur un formulaire d'inscription sont meilleurs.
La seule fois où je peux penser qu'une question de mot de passe mémorable pourrait être utile est pour vous inscrire à un compte de messagerie réel; car vous ne pouvez pas envoyer de rappel de mot de passe/réinitialiser une adresse si cette personne ne peut pas accéder à son e-mail.
Est-ce un concept obsolète ou offre-t-il de véritables avantages aux utilisateurs auxquels je ne pense pas actuellement? (comme donner à l'utilisateur une apparence de sécurité - le faire se sentir en sécurité même s'il n'offre en fait aucune sécurité géniale).
(Pas vraiment une question UX, imo.)
Mais voici ce que Bruce Schneier a à dire sur questions secrètes (qui sont mauvaises pour les mêmes raisons que les indices sont mauvais). Dit Nuff.
Il n'y a aucune bonne raison de l'utiliser pour un service où vous connaissez l'adresse e-mail d'une personne . Parfois, il est utilisé au cas où quelqu'un perd l'accès à son adresse e-mail (change de travail, etc.), mais même alors, je remettrais en question le choix.
De nombreux programmes nécessitent des mots de passe compliqués pour se souvenir sous l'idée fausse qu'ils sont plus sûrs (comme 3xzA @ |\e), donc les gens les oublient souvent. Cela se fait généralement lorsque vous n'avez pas l'adresse e-mail d'une personne en premier lieu (généralement pour un compte de messagerie). Cela provoque de nombreux appels de support, et dans un effort pour réduire ces appels, les entreprises ont ajouté des méthodes pour les contourner.
Mais pourquoi avoir un mot de passe sécurisé en premier lieu si vous pouvez contourner cela avec une question moins sécurisée ? La meilleure option serait sûrement de permettre à quelqu'un d'utiliser une phrase de passe au lieu d'un mot de passe pour sécuriser le système en premier lieu.
Je me réfère à ce dessin animé par XKCD qui le dit mieux que jamais. 
Il y a quelques bonnes ressources sur l'utilisabilité des mots de passe.
Sitepoint a une grande liste de points lors de l'examen d'un système de mot de passe, surtout:
Cela peut souvent sembler une bonne idée de permettre aux utilisateurs d'inclure un indice pour les aider à se souvenir de leur mot de passe. Cependant, cela peut être un peu dangereux: les utilisateurs peuvent simplement entrer leur mot de passe (ou un dérivé de celui-ci) comme indice, ou utiliser un indice qui rend la devinette de leur mot de passe trop facile. Si vous souhaitez utiliser des indices de mot de passe, pensez à demander aux utilisateurs des informations supplémentaires avant de les afficher, telles que leur code postal ou leur date de naissance.
Les astuces et les questions de sécurité sont souvent trop évidentes (Mot de passe: Babies Astuce: Babies) et si vous avez une ou des questions de sécurité définies, un utilisateur peut ne pas avoir bonne réponse, ou les réponses pourraient être trop évidentes. Demandez-moi le nom de jeune fille de ma mère? Tous ceux qui me connaissent connaissent ma réponse! Demandez à ma pizzeria préférée à Brooklyn? Um ... qu'est-ce que j'ai choisi pour cette réponse à nouveau?
Sitepoint dit également ceci à propos des réinitialisations de mot de passe:
C'est une bonne idée de permettre aux utilisateurs de réinitialiser eux-mêmes les mots de passe. De cette façon, il n'y a pas besoin d'intervention de votre part. En règle générale, cela se fait en envoyant un e-mail de réinitialisation du mot de passe au compte de messagerie enregistré. L'utilisateur clique sur un lien dans l'e-mail, est dirigé vers votre site et est invité à définir un nouveau mot de passe.
Il est difficile d'obtenir une expérience plus agréable que de cliquer sur un lien pour réinitialiser un mot de passe . Pas de mémorisation, pas de devinettes, tout ce dont j'ai besoin est d'accéder à mon email. Cela évite également d'envoyer un mot de passe par e-mail (contre lequel Sitepoint recommande), ce qui peut être problématique si l'utilisateur ne change jamais ce mot de passe et si quelqu'un intercepte l'e-mail.
Peut-être au-delà de votre portée, mais beaucoup de gens considèrent l'ensemble du système de réinitialisation de mot de passe pour les comptes communs comme une mauvaise expérience. Jonathan Duhig a un excellent article de blog expliquant comment éliminer complètement le problème des "mots de passe"; OpenIDs. Des choses comme Facebook connect signifient que votre utilisateur n'oubliera jamais son mot de passe ou son nom d'utilisateur ou un indice ou autre - sa sécurité est simplifiée et vous avez démoli un certain nombre des barrières à l'inscription pour démarrer. C'est l'expérience idéale, si un utilisateur souhaite connecter son OpenID à votre site.
Il est également important de noter que demander un indice de mot de passe ou une question de sécurité est une étape supplémentaire lors de l'inscription. Les réinitialisations de mot de passe par e-mail n'affectent que les utilisateurs qui ont besoin de leur mot de passe réinitialiser, poser des questions sur votre formulaire d'inscription affecte tous.
Ne vous embêtez pas avec eux. Il ne demande vraiment pas grand-chose à amener les gens à vérifier leur boîte de réception.
Il suffit d'avoir un champ de soumission d'adresse e-mail pour le mot de passe oublié qui déclenche un e-mail à l'adresse s'il est trouvé sur le système, en envoyant un lien avec des instructions de réinitialisation. Ne pas envoyer de commentaires au formulaire si l'e-mail n'était pas dans le système - permet aux pirates/bots de déterminer si une adresse e-mail spécifique se trouve sur le système.
Assez standard. N'énervera pas les gens et ne quittera pas votre système et les comptes clients plus vulnérables au piratage.
Si les gens ne se souviennent pas des mots de passe, craignant que ce ne soit pas votre problème, ils les définissent. N'ayez tout simplement pas d'exigences minimales en matière de mot de passe - qui font chier les gens plus que tout - laissez-le assez ouvert (par exemple: plus de 5 caractères, sauf si vous êtes une banque). De cette façon, ils sont plus susceptibles de choisir quelque chose de mémorable plutôt que d'avoir à inventer quelque chose dont ils ne se souviendront pas. S'ils utilisent "mot de passe" et sont piratés - encore une fois, leur propre faute.
Si votre produit peut le faire, utilisez simplement quelque chose comme ceci: http://code.google.com/apis/identitytoolkit/v1/learnmore.html
Simplifie encore tout le problème en utilisant des API de connexion communes
Il y a un scénario où une question de mot de passe aiderait UX: il n'est pas si facile de faire une attaque par déni de service ciblée sur un utilisateur particulier. S'il est possible de réinitialiser un mot de passe sans aucun "secret", un bot pourrait réinitialiser votre mot de passe à chaque seconde - vous n'auriez aucune chance de vous connecter.
Dans la plupart des applications, cependant, la confidentialité et l'intégrité sont bien plus importantes que la disponibilité.