ช่วยให้ผู้ใช้เปลี่ยนรหัสผ่านได้ง่ายๆ ด้วยการเพิ่ม URL ชื่อดังสำหรับเปลี่ยนรหัสผ่าน

เปลี่ยนเส้นทางคำขอไปยัง /.well-known/change-password ไปยัง URL เปลี่ยนรหัสผ่าน

Eiji Kitamura

ตั้งค่าการเปลี่ยนเส้นทางจาก /.well-known/change-password ไปยังหน้าเปลี่ยนรหัสผ่านของเว็บไซต์ ซึ่งจะช่วยให้เครื่องมือจัดการรหัสผ่านนำผู้ใช้ไปยังหน้านั้นโดยตรงได้

บทนำ

คุณอาจทราบแล้วว่ารหัสผ่านไม่ใช่วิธีที่ดีที่สุดในการจัดการบัญชี แต่โชคดีที่ตอนนี้มีเทคโนโลยีใหม่ๆ เกิดขึ้น เช่น WebAuthn และเทคนิคต่างๆ เช่น รหัสผ่านที่สามารถใช้งานได้เพียงครั้งเดียว ซึ่งช่วยให้เราเข้าใกล้โลกที่ไม่มีรหัสผ่านมากขึ้น อย่างไรก็ตาม เทคโนโลยีเหล่านี้ยังอยู่ระหว่างการพัฒนาและการเปลี่ยนแปลงจะไม่เกิดขึ้นอย่างรวดเร็ว นักพัฒนาซอฟต์แวร์จํานวนมากจะยังคงต้องจัดการกับรหัสผ่านอีกอย่างน้อย 2-3 ปี ในระหว่างที่รอให้เทคโนโลยีและเทคนิคใหม่ๆ กลายเป็นเรื่องธรรมดา อย่างน้อยเราก็ทำให้รหัสผ่านใช้งานได้ง่ายขึ้นได้

วิธีที่ดีในการทำเช่นนี้คือการรองรับเครื่องมือจัดการรหัสผ่านได้ดียิ่งขึ้น

ประโยชน์ของเครื่องมือจัดการรหัสผ่าน

เครื่องมือจัดการรหัสผ่านอาจฝังอยู่ในเบราว์เซอร์หรือให้บริการเป็นแอปของบุคคลที่สาม ซึ่งช่วยผู้ใช้ได้หลายวิธี ดังนี้

ป้อนรหัสผ่านอัตโนมัติในช่องป้อนข้อมูลที่เหมาะสม: เบราว์เซอร์บางตัวสามารถค้นหาอินพุตที่ถูกต้องได้โดยใช้วิธีการเฮิวริสติก แม้ว่าเว็บไซต์จะไม่ได้เพิ่มประสิทธิภาพเพื่อวัตถุประสงค์นี้ก็ตาม นักพัฒนาเว็บสามารถช่วยเครื่องมือจัดการรหัสผ่านได้โดยกำกับเนื้อหา HTML แท็กอินพุตอย่างถูกต้อง

ป้องกันฟิชชิง: เนื่องจากเครื่องมือจัดการรหัสผ่านจะจดจำตำแหน่งที่บันทึกรหัสผ่านไว้ รหัสผ่านจึงจะป้อนอัตโนมัติได้เฉพาะใน URL ที่เหมาะสมเท่านั้น และจะไม่ป้อนในเว็บไซต์ฟิชชิง

สร้างรหัสผ่านที่รัดกุมและไม่ซ้ำกัน: เนื่องจากเครื่องมือจัดการรหัสผ่านจะสร้างและจัดเก็บรหัสผ่านที่รัดกุมและไม่ซ้ำกันโดยตรง ผู้ใช้จึงไม่ต้องจำอักขระใดๆ ของรหัสผ่าน

การสร้างและการป้อนรหัสผ่านอัตโนมัติโดยใช้เครื่องมือจัดการรหัสผ่านได้ทําหน้าที่เป็นเลิศอยู่แล้วในเว็บ แต่เมื่อพิจารณาวงจรการใช้งาน อัปเดตรหัสผ่านทุกครั้งที่จําเป็นก็สําคัญไม่แพ้การสร้างและการป้อนรหัสผ่านอัตโนมัติ เครื่องมือจัดการรหัสผ่านจึงเพิ่มฟีเจอร์ใหม่เพื่อใช้ประโยชน์จากฟีเจอร์ดังกล่าวอย่างเหมาะสม ดังนี้

ตรวจหารหัสผ่านที่มีช่องโหว่และแนะนำให้อัปเดต: เครื่องมือจัดการรหัสผ่านสามารถตรวจหารหัสผ่านที่ใช้ซ้ำ วิเคราะห์ความหลากหลายและความอ่อนแอของรหัสผ่าน รวมถึงตรวจหารหัสผ่านที่อาจรั่วไหลหรือรหัสผ่านที่ทราบว่าไม่ปลอดภัยจากแหล่งที่มาต่างๆ เช่น Have I Been Pwned

เครื่องมือจัดการรหัสผ่านสามารถเตือนผู้ใช้เกี่ยวกับรหัสผ่านที่มีปัญหาได้ แต่การขอให้ผู้ใช้ไปยังหน้าเปลี่ยนรหัสผ่านจากหน้าแรกนั้นทำให้เกิดความไม่สะดวกอย่างมาก นอกเหนือจากกระบวนการเปลี่ยนรหัสผ่านจริง (ซึ่งแตกต่างกันไปในแต่ละเว็บไซต์) ผู้ใช้จะดำเนินการได้ง่ายขึ้นมากหากเครื่องมือจัดการรหัสผ่านนำผู้ใช้ไปยัง URL เปลี่ยนรหัสผ่านได้โดยตรง ในกรณีนี้ URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่านจะมีประโยชน์

การจองเส้นทาง URL ที่รู้จักกันดีซึ่งเปลี่ยนเส้นทางผู้ใช้ไปยังหน้าเปลี่ยนรหัสผ่านจะช่วยให้เว็บไซต์เปลี่ยนเส้นทางผู้ใช้ไปยังตำแหน่งที่ถูกต้องเพื่อเปลี่ยนรหัสผ่านได้อย่างง่ายดาย

ตั้งค่า "URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่าน"

.well-known/change-password ได้รับการเสนอเป็น URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่าน สิ่งที่คุณต้องทำมีเพียงการกำหนดค่าเซิร์ฟเวอร์ให้เปลี่ยนเส้นทางคำขอ .well-known/change-password ไปยัง URL สำหรับเปลี่ยนรหัสผ่านของเว็บไซต์

เช่น สมมติว่าเว็บไซต์ของคุณคือ https://example.com และ URL เปลี่ยนรหัสผ่านคือ https://example.com/settings/password คุณเพียงแค่ต้องตั้งค่าเซิร์ฟเวอร์ให้เปลี่ยนเส้นทางคำขอ https://example.com/.well-known/change-password ไปยัง https://example.com/settings/password เท่านี้เอง สําหรับการเปลี่ยนเส้นทาง ให้ใช้รหัสสถานะ HTTP 302 Found, 303 See Other หรือ 307 Temporary Redirect

หรือจะแสดง HTML ที่ URL .well-known/change-password ด้วยแท็ก <meta> โดยใช้ http-equiv="refresh" ก็ได้

<meta http-equiv="refresh" content="0;url=https://example.com/settings/password">

กลับไปที่ HTML ของหน้าเปลี่ยนรหัสผ่าน

เป้าหมายของฟีเจอร์นี้คือช่วยให้วงจรของรหัสผ่านของผู้ใช้ทำงานได้อย่างราบรื่นยิ่งขึ้น คุณทําสิ่งต่อไปนี้ได้ 2 อย่างเพื่อให้ผู้ใช้อัปเดตรหัสผ่านได้โดยไม่มีปัญหา

• หากแบบฟอร์มเปลี่ยนรหัสผ่านต้องใช้รหัสผ่านปัจจุบัน ให้เพิ่ม autocomplete="current-password" ลงในแท็ก <input> เพื่อช่วยเครื่องมือจัดการรหัสผ่านป้อนรหัสผ่านโดยอัตโนมัติ
• สําหรับช่องรหัสผ่านใหม่ (ในหลายกรณีจะมี 2 ช่องเพื่อให้มั่นใจว่าผู้ใช้ป้อนรหัสผ่านใหม่อย่างถูกต้อง) ให้เพิ่ม autocomplete="new-password" ลงในแท็ก <input> เพื่อช่วยเครื่องมือจัดการรหัสผ่านแนะนํารหัสผ่านที่สร้างขึ้น

ดูข้อมูลเพิ่มเติมได้ที่แนวทางปฏิบัติแนะนำสำหรับแบบฟอร์มลงชื่อเข้าใช้

การใช้งานในชีวิตจริง

ตัวอย่าง

/.well-known/change-password มีให้บริการในเว็บไซต์หลักๆ หลายแห่งมาระยะหนึ่งแล้ว เนื่องด้วยการใช้งานของ Apple Safari

• Google
• GitHub
• Facebook
• Twitter
• WordPress

ลองใช้ดูและนำไปใช้กับช่องของคุณ

ความเข้ากันได้กับเบราว์เซอร์

Safari รองรับ URL ที่รู้จักกันดีสำหรับเปลี่ยนรหัสผ่านมาตั้งแต่ปี 2019 เครื่องมือจัดการรหัสผ่านของ Chrome จะเริ่มรองรับตั้งแต่เวอร์ชัน 86 เป็นต้นไป (ซึ่งกำหนดเวลาไว้สำหรับรุ่นเสถียรในช่วงปลายเดือนตุลาคม 2020) และเบราว์เซอร์อื่นๆ ที่ใช้ Chromium อาจตามมาด้วย Firefox คิดว่าควรนำไปใช้ แต่ยังไม่ได้ส่งสัญญาณว่าวางแผนที่จะดำเนินการดังกล่าว ณ เดือนสิงหาคม 2020

ลักษณะการทำงานของเครื่องมือจัดการรหัสผ่านของ Chrome

มาดูกันว่าเครื่องมือจัดการรหัสผ่านของ Chrome จัดการกับรหัสผ่านที่มีช่องโหว่อย่างไร

เครื่องมือจัดการรหัสผ่านของ Chrome สามารถตรวจหารหัสผ่านที่รั่วไหลได้ เมื่อไปที่ about://settings/passwords ผู้ใช้จะเรียกใช้ตรวจสอบรหัสผ่านกับรหัสผ่านที่จัดเก็บไว้ และดูรายการรหัสผ่านที่แนะนำให้อัปเดตได้

เมื่อคลิกปุ่มเปลี่ยนรหัสผ่านข้างรหัสผ่านที่แนะนำให้อัปเดต เบราว์เซอร์จะทำดังนี้

• เปิดหน้าเปลี่ยนรหัสผ่านของเว็บไซต์หากตั้งค่า /.well-known/change-password อย่างถูกต้อง
• เปิดหน้าแรกของเว็บไซต์หากไม่ได้ตั้งค่า /.well-known/change-password และ Google ไม่ทราบหน้าสำรอง

ความคิดเห็น

หากมีความคิดเห็นเกี่ยวกับข้อกําหนดเฉพาะ โปรดแจ้งปัญหาในที่เก็บข้อมูลข้อกําหนดเฉพาะ

แหล่งข้อมูล

• URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่าน
• การตรวจหาความน่าเชื่อถือของรหัสสถานะ HTTP
• แนวทางปฏิบัติแนะนำสำหรับแบบฟอร์มลงชื่อเข้าใช้

รูปภาพโดย Matthew Brodeur ใน Unsplash