web-dev-qa-db-fra.com

Un utilisateur doit-il être connecté après avoir réinitialisé son mot de passe?

Supposons le flux suivant:

  1. Je veux me connecter
  2. Je ne me souviens pas du mot de passe
  3. Je clique sur le lien "J'ai oublié mon mot de passe" (l'email est envoyé)
  4. Je vérifie ma boîte de réception et clique sur le lien
  5. Je tape un nouveau mot de passe
  6. Terminé

Pourquoi, après avoir effectué ces étapes, ne suis-je pas connecté, mais plutôt un écran de connexion? Si nous nous référons à 1. alors il semble évident que je voudrais me connecter.

Y a-t-il des cas d'utilisation où quelqu'un voudrait changer son mot de passe via le lien "J'ai oublié mon mot de passe" et ne pas se connecter? Sauf s'il me manque quelque chose évident, l'intention est claire et l'identité a été établie en utilisant le lien de réinitialisation à partir du courrier électronique.

Veuillez indiquer vos opinions, veuillez indiquer si l'utilisateur doit être connecté après la réinitialisation du mot de passe?

Connexes: Devrait confirmer les liens de connexion automatique si l'utilisateur n'est pas connecté? (ma réponse serait oui)

formsloginpasswordsecurityworkflow
33
Mars Robertson

Non. Bien que cela semble ennuyeux, je vois quatre problèmes pour ne pas avoir à saisir à nouveau les informations de connexion:

  1. Je me souviendrai mieux de mon nouveau mot de passe si je dois le saisir à nouveau. (Je continue d'oublier mon nouveau mot de passe e-banking car je n'ai pas besoin de le ressaisir, et bien sûr je ne le stocke pas dans le navigateur.)
  2. Si je veux stocker le mot de passe, le gestionnaire PW du navigateur est parfois dérouté par le changement PW et n'est pas en mesure de le traiter correctement; ce n'est pas le cas lorsque j'entre un autre PW dans le formulaire de connexion standard
  3. Devoir utiliser le mot de passe est le meilleur moyen de s'assurer que le mot de passe a bien été changé.
  4. (sécurité) À mon humble avis, il vaut mieux quand un utilisateur se connecte uniquement par le bouton LOG IN et jamais par rien d'autre comme le bouton CHANGE PASSWORD.
42
yo'

À mon avis: OUI.

L'authentification a été effectuée lorsque le mot de passe est réinitialisé, afin que l'utilisateur puisse être connecté. Et cela me dérange énormément quand, après la réinitialisation du mot de passe, je ne suis pas connecté.

Je ne peux penser à aucun cas où je ne voudrais pas être connecté après la réinitialisation du mot de passe, pourquoi devrais-je même demander une réinitialisation du mot de passe si je ne veux pas me connecter ?

34
Samuel M

Pour la grande majorité des situations, les utilisateurs doivent être connectés après avoir réinitialisé leur mot de passe. Essentiellement, une fois que vous avez suffisamment authentifié quelqu'un pour changer de mot de passe, vous l'avez également suffisamment authentifié pour qu'il puisse effectuer la tâche qu'il souhaitait probablement effectuer.

Il existe cependant des situations relativement rares où cela n'est pas possible:

  • Où vous avez un nom d'utilisateur pour un système, mais il n'est pas clair sur quel site vous devez vous connecter. Par exemple, si vous êtes comptable et avez un nom d'utilisateur/mot de passe pour un système de comptabilité en ligne que vous utilisez pour de nombreux clients. Il y aura souvent des noms de domaine distincts pour chaque client, tels que client1.accounting.com et client2.accounting.com. Ici, la réinitialisation de votre mot de passe s'appliquerait à tous les sites connexes, mais le site auquel vous devez vous connecter n'est pas clair.

  • Si l'authentification est gérée par un système distinct de l'application. Ce n'est pas que ce ne serait pas une bonne expérience utilisateur pour faire cela, juste que cela peut être un gros casse-tête technique, et donc pas considéré comme valant le coût.

5
JohnGB

Pourquoi ne pas créer deux boutons "Changer le mot de passe et se connecter" et "Changer simplement le mot de passe"? Avoir une autre option ne fait pas de mal à mon avis.

0
Mark Vizcarra

La situation est un peu controversée. En fait, cela dépend du point de vue de l'utilisateur sur la façon dont l'utilisateur réagit en fonction de la situation.

Nous pouvons expliquer la situation en utilisant 2 points de vue:

  1. Du point de vue de l'utilisateur, il est évident qu'il/elle peut penser à ne pas saisir à nouveau le mot de passe une fois qu'il/elle l'a changé. Dans ce cas, l'utilisateur peut être agacé et penser que ressaisir le mot de passe sera une pure perte de temps. Il est donc correct de ne pas saisir à nouveau le mot de passe.

  2. Du point de vue technique (en particulier du point de vue des tests), il peut arriver que l'utilisateur se soit connecté au compte il y a quelques jours en utilisant un autre appareil comme un mobile, une tablette, etc.

Ainsi, une fois le mot de passe réinitialisé, l'utilisateur est à nouveau invité à saisir le nouveau mot de passe afin que la confirmation soit envoyée au système lors de la modification du mot de passe. Il est donc nécessaire de saisir à nouveau le mot de passe.

0
talktokets