Wpis z mikrobloga

Czołem załogo!
Szukamy w zespole wyjścia z dość patowej sytuacji. Mamy logowanie do systemu które opiera się na dwóch rzeczach: login i hasło. Login jest nadawany użytkownikowi przez administratora, nie będzie to adres email. Z systemu będzie korzystało tysiące użytkowników. Chcąc uniknąć sytuacji gdzie będzie milion zgłoszeń "zapomniałem" loginu chcemy zaproponować system przypominania loginu. Macie jakieś doświadczenie w tym zakresie?
Rozpatrywaliśmy kilka sytuacji:
1. Login jest generowany na papierowym wniosku (tak jak w banku) i klient musi go przetrzymywać. Jak zapomni - niech zajrzy. Robi to się raz na samym początku.
2. Login jest generowany i wysyłany na maila, klient szuka maila i znajduje login - robimy to tylko raz na początku.
3. Login jest przypominany na zasadzie tak jak w banku (Getin ma taką usługę - step by step) użytkownik jest odpytywany o jakieś pytania wcześniej ustawione tak by sprawdzić czy to faktycznie on.

Biznes nie chce zbytnio wysyłać maili z loginem, będzie taka funkcjonalność z przypomnieniem hasła (taki wymysł).
Rozpatrujemy wysyłanie np. smsa z przypomnieniem loginu (na chwile obecną nie przechowujemy w systemie numeru telefonu - funkcjonalność musimy dorobić).
Do dyskusji był poddawany również pomysł aby loginem był email ale to generuje problem gdy user zmieni firmę, a dostęp do systemu nadal będzie musiał mieć. Wtedy należałoby wyłączyć stare konto i założyć nowe, a tak to tylko jest dezaktywacja w jednej grupie i podpięcie do drugiej.

Może ktoś ma jeszcze inne pomysły?

#developer #programowanie #systemyoperacyjne #java #php #testowanieoprogramowania #uwierzytelnianie #logowanie
  • 14
@laskoka: osobiście skłaniałbym się ku opcji pierwszej - mam kilka takich papierów z loginami i daje to radę. Nie pamiętam - zaglądam, ew. zapisuję sobie login w jakimś KeePassie i tyle ( ͡° ͜ʖ ͡°)
była tez opcja budowania loginu według jakiegoś określonego wzoru. Np. trzy litery imienia i nazwiska plus końcówka pesela (5 ostatnich cyfr).
@JeromeRF: masz racje, bedzie to standardowa usługa - reset na maila, link z resetem, pozniej ustawiasz nowe. Problem ktory opisałem dotyczy uzytkownikow o typie "admin lokalny" danej firmy. Kazda firma bedzie miala takiego super usera (moze ich byc wiele) który bedzie mogl np. zresetowac hasło lub przypomniec login innym userom. Ale co kiedy on zapomni loginu a bedzie jedynym w firmie co ma takie uprawnienie?
@laskoka: trudno powiedzieć jak nie wiadomo do czego aplikacja służy i jak dokładanie działa..
Ale dlaczego nie może być tak, że gdy ktoś chce założyć nowe konto to super user wysyła zaproszenia na user@firma.pl, tam osoba ma standardowy formularz gdzie wybiera sobie dowolny login, np laskoka i ustawia hasło. Gdy osoba odchodzi z pracy super user "wyrzuca" go z firmy(usuwa dostępy użytkownika laskoka do danych firmowych w aplikacji (o ile takie
@laskoka: Wiem, że w PokemonGO jak zapomniałem loginu to musiałem podać swój email i date urodzenia, więc w pewnym sensie nikt się nie włamie bez daty urodzenia w przypadku utraty adresu email.
Zamiast daty można dać np. pesel albo jakieś security questions
Może weryfikacja tegoż admina w formularzu a potem @ z loginem. Albo dwuetapowo mail z linkiem do strony odzyskiwania a potem po weryfikacji hasła (przy założeniu że chociaż to pamieta) wysłanie loginu a identyfikacja konta powiązana z np z NIP firmy i adresem mailowym, kombinacje dowolne