เปลี่ยนเส้นทางคำขอไปยัง /.well-known/change-password
ไปยัง URL สำหรับการเปลี่ยนรหัสผ่าน
ตั้งค่าการเปลี่ยนเส้นทางจาก /.well-known/change-password
ไปยังหน้าเปลี่ยนรหัสผ่านของเว็บไซต์ วิธีนี้จะทำให้เครื่องมือจัดการรหัสผ่านพาผู้ใช้
ไปยังหน้านั้นได้โดยตรง
บทนำ
คุณอาจทราบแล้วว่ารหัสผ่านไม่ใช่วิธีที่ดีที่สุดในการจัดการบัญชี แต่โชคดีที่ตอนนี้มีเทคโนโลยีใหม่ๆ เกิดขึ้น เช่น WebAuthn และเทคนิคต่างๆ เช่น รหัสผ่านที่สามารถใช้งานได้เพียงครั้งเดียว ซึ่งช่วยให้เราเข้าใกล้โลกที่ไม่มีรหัสผ่านมากขึ้น อย่างไรก็ตาม เทคโนโลยีเหล่านี้ยังอยู่ระหว่างการพัฒนาและการเปลี่ยนแปลงจะไม่เกิดขึ้นอย่างรวดเร็ว นักพัฒนาซอฟต์แวร์จํานวนมากจะยังคงต้องจัดการกับรหัสผ่านอีกอย่างน้อย 2-3 ปี ในระหว่างที่รอให้เทคโนโลยีและเทคนิคใหม่ๆ กลายเป็นเรื่องธรรมดา อย่างน้อยเราก็ทำให้รหัสผ่านใช้งานได้ง่ายขึ้นได้
วิธีที่ดีในการทำเช่นนี้คือการรองรับเครื่องมือจัดการรหัสผ่านได้ดียิ่งขึ้น
ประโยชน์ของเครื่องมือจัดการรหัสผ่าน
เครื่องมือจัดการรหัสผ่านอาจฝังอยู่ในเบราว์เซอร์หรือให้บริการเป็นแอปของบุคคลที่สาม โดยให้ความช่วยเหลือผู้ใช้ได้หลายวิธี ดังนี้
ป้อนรหัสผ่านอัตโนมัติในช่องป้อนข้อมูลที่เหมาะสม: เบราว์เซอร์บางตัวสามารถค้นหาอินพุตที่ถูกต้องได้โดยใช้วิธีการเฮิวริสติก แม้ว่าเว็บไซต์จะไม่ได้เพิ่มประสิทธิภาพเพื่อวัตถุประสงค์นี้ก็ตาม นักพัฒนาเว็บสามารถช่วยเครื่องมือจัดการรหัสผ่านได้โดยกำกับเนื้อหา HTML แท็กอินพุตอย่างถูกต้อง
ป้องกันฟิชชิง: เนื่องจากเครื่องมือจัดการรหัสผ่านจะจดจำตำแหน่งที่บันทึกรหัสผ่านไว้ รหัสผ่านจึงจะป้อนอัตโนมัติได้เฉพาะใน URL ที่เหมาะสมเท่านั้น และจะไม่ป้อนในเว็บไซต์ฟิชชิง
สร้างรหัสผ่านที่รัดกุมและไม่ซ้ำกัน: เนื่องจากเครื่องมือจัดการรหัสผ่านจะสร้างและจัดเก็บรหัสผ่านที่รัดกุมและไม่ซ้ำกันโดยตรง ผู้ใช้จึงไม่ต้องจำอักขระของรหัสผ่านเลย
การสร้างและการป้อนรหัสผ่านอัตโนมัติโดยใช้เครื่องมือจัดการรหัสผ่านได้ทําหน้าที่เป็นเลิศอยู่แล้วในเว็บ แต่เมื่อพิจารณาวงจรการใช้งาน อัปเดตรหัสผ่านทุกครั้งที่จําเป็นก็สําคัญไม่แพ้การสร้างและการป้อนรหัสผ่านอัตโนมัติ เครื่องมือจัดการรหัสผ่านจึงเพิ่มฟีเจอร์ใหม่เพื่อใช้ประโยชน์จากฟีเจอร์ดังกล่าวอย่างเหมาะสม ดังนี้
ตรวจหารหัสผ่านที่มีช่องโหว่และแนะนำให้อัปเดต: เครื่องมือจัดการรหัสผ่านสามารถตรวจหารหัสผ่านที่ใช้ซ้ำ วิเคราะห์ความหลากหลายและความอ่อนแอของรหัสผ่าน และแม้แต่ตรวจหารหัสผ่านที่อาจรั่วไหลหรือรหัสผ่านที่ทราบว่าไม่ปลอดภัยจากแหล่งที่มาต่างๆ เช่น Have I Been Pwned
เครื่องมือจัดการรหัสผ่านสามารถเตือนผู้ใช้เกี่ยวกับรหัสผ่านที่มีปัญหาได้ แต่การขอให้ผู้ใช้ไปยังหน้าเปลี่ยนรหัสผ่านจากหน้าแรกนั้นทำให้เกิดความไม่สะดวกอย่างมาก นอกเหนือจากกระบวนการเปลี่ยนรหัสผ่านจริง (ซึ่งแตกต่างกันไปในแต่ละเว็บไซต์) ผู้ใช้จะดำเนินการได้ง่ายขึ้นมากหากเครื่องมือจัดการรหัสผ่านนำผู้ใช้ไปยัง URL เปลี่ยนรหัสผ่านได้โดยตรง นี่เป็นที่ที่ URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่านจะมีประโยชน์
การจองเส้นทาง URL ที่รู้จักกันดีซึ่งเปลี่ยนเส้นทางผู้ใช้ไปยังหน้าเปลี่ยนรหัสผ่านจะช่วยให้เว็บไซต์เปลี่ยนเส้นทางผู้ใช้ไปยังตำแหน่งที่ถูกต้องเพื่อเปลี่ยนรหัสผ่านได้อย่างง่ายดาย
ตั้งค่า "URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่าน"
.well-known/change-password
ได้รับการเสนอเป็น URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่าน สิ่งที่คุณต้องทำมีเพียงการกำหนดค่าเซิร์ฟเวอร์ให้เปลี่ยนเส้นทางคำขอ .well-known/change-password
ไปยัง URL สำหรับเปลี่ยนรหัสผ่านของเว็บไซต์
เช่น สมมติว่าเว็บไซต์ของคุณคือ https://example.com
และ URL เปลี่ยนรหัสผ่านคือ https://example.com/settings/password
คุณเพียงแค่ต้องตั้งค่าเซิร์ฟเวอร์ให้เปลี่ยนเส้นทางคำขอ https://example.com/.well-known/change-password
ไปยัง https://example.com/settings/password
เท่านี้เอง สําหรับการเปลี่ยนเส้นทาง ให้ใช้รหัสสถานะ HTTP
302 Found
, 303 See
Other
หรือ 307
Temporary Redirect
หรือจะแสดง HTML ที่ URL .well-known/change-password
ด้วยแท็ก <meta>
โดยใช้ http-equiv="refresh"
ก็ได้
<meta http-equiv="refresh" content="0;url=https://example.com/settings/password">
กลับไปที่ HTML ของหน้าเปลี่ยนรหัสผ่าน
เป้าหมายของฟีเจอร์นี้คือช่วยให้วงจรของรหัสผ่านของผู้ใช้ทำงานได้อย่างราบรื่นยิ่งขึ้น คุณทําสิ่งต่อไปนี้ได้ 2 อย่างเพื่อให้ผู้ใช้อัปเดตรหัสผ่านได้โดยไม่มีปัญหา
- หากแบบฟอร์มเปลี่ยนรหัสผ่านต้องใช้รหัสผ่านปัจจุบัน ให้เพิ่ม
autocomplete="current-password"
ลงในแท็ก<input>
เพื่อช่วยเครื่องมือจัดการรหัสผ่านป้อนรหัสผ่านโดยอัตโนมัติ - สําหรับช่องรหัสผ่านใหม่ (ในหลายกรณีจะมี 2 ช่องเพื่อให้มั่นใจว่าผู้ใช้ป้อนรหัสผ่านใหม่อย่างถูกต้อง) ให้เพิ่ม
autocomplete="new-password"
ลงในแท็ก<input>
เพื่อช่วยเครื่องมือจัดการรหัสผ่านแนะนํารหัสผ่านที่สร้างขึ้น
ดูข้อมูลเพิ่มเติมได้ที่แนวทางปฏิบัติแนะนำสำหรับแบบฟอร์มลงชื่อเข้าใช้
การใช้งานในชีวิตจริง
ตัวอย่าง
/.well-known/change-password
มีให้บริการในเว็บไซต์หลักๆ หลายแห่งมาระยะหนึ่งแล้ว เนื่องด้วยการใช้งานของ Apple Safari
ลองด้วยตัวคุณเองและทำตามวิธีเดียวกับคุณเลย
ความเข้ากันได้กับเบราว์เซอร์
URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่านรองรับใน Safari ตั้งแต่ปี 2019 เครื่องมือจัดการรหัสผ่านของ Chrome จะเริ่มรองรับตั้งแต่เวอร์ชัน 86 เป็นต้นไป (ซึ่งกำหนดเวลาไว้สำหรับรุ่นเสถียรในช่วงปลายเดือนตุลาคม 2020) และเบราว์เซอร์อื่นๆ ที่ใช้ Chromium อาจตามมาด้วย Firefox คิดว่าควรนำไปใช้ แต่ยังไม่ได้ส่งสัญญาณว่าวางแผนที่จะดำเนินการดังกล่าว ณ เดือนสิงหาคม 2020
การทำงานของเครื่องมือจัดการรหัสผ่านของ Chrome
มาดูกันว่าเครื่องมือจัดการรหัสผ่านของ Chrome จัดการกับรหัสผ่านที่มีช่องโหว่อย่างไร
เครื่องมือจัดการรหัสผ่านของ Chrome สามารถตรวจหารหัสผ่านที่รั่วไหลได้ เมื่อไปที่ about://settings/passwords
ผู้ใช้จะเรียกใช้ตรวจสอบรหัสผ่านกับรหัสผ่านที่จัดเก็บไว้ และดูรายการรหัสผ่านที่แนะนำให้อัปเดตได้
การคลิกปุ่มเปลี่ยนรหัสผ่านข้างรหัสผ่านที่แนะนำให้อัปเดต เบราว์เซอร์จะดำเนินการต่อไปนี้
- เปิดหน้าเปลี่ยนรหัสผ่านของเว็บไซต์หากตั้งค่า
/.well-known/change-password
อย่างถูกต้อง - เปิดหน้าแรกของเว็บไซต์หากไม่ได้ตั้งค่า
/.well-known/change-password
และ Google ไม่ทราบหน้าสำรอง
200 OK
และที่ไม่มี /.well-known/change-password
อยู่เครื่องมือจัดการรหัสผ่านจะพยายามระบุว่าเว็บไซต์รองรับ URL ที่รู้จักกันดีสำหรับการเปลี่ยนแปลงรหัสผ่านหรือไม่ โดยส่งคำขอไปยัง /.well-known/change-password
ก่อนส่งต่อผู้ใช้ไปยัง URL นี้ หากคำขอแสดงผลเป็น 404 Not Found
แสดงว่า URL ไม่พร้อมใช้งาน แต่การตอบกลับเป็น 200 OK
ไม่ได้หมายความว่า URL พร้อมใช้งานเสมอไป เนื่องจากมีกรณีขอบเขตบางประการดังนี้
- เว็บไซต์ที่แสดงผลฝั่งเซิร์ฟเวอร์จะแสดงข้อความ "ไม่พบ" เมื่อไม่มีเนื้อหา แต่มี
200 OK
- เว็บไซต์ที่แสดงผลฝั่งเซิร์ฟเวอร์จะตอบสนองด้วย
200 OK
เมื่อไม่มีเนื้อหาหลังจากเปลี่ยนเส้นทางไปยังหน้า "ไม่พบ" - แอปหน้าเว็บเดียวจะตอบสนองด้วยเชลล์ที่มี
200 OK
และแสดงผลหน้า "ไม่พบ" ฝั่งไคลเอ็นต์เมื่อไม่มีเนื้อหา
ในกรณีขอบเขตเหล่านี้ ระบบจะส่งต่อผู้ใช้ไปยังหน้า "ไม่พบ" ซึ่งจะสร้างความสับสน
ด้วยเหตุนี้จึงมีกลไกมาตรฐานที่เสนอเพื่อระบุว่าเซิร์ฟเวอร์ได้รับการกําหนดค่าให้ตอบกลับด้วย 404 Not Found
หรือไม่เมื่อไม่มีเนื้อหาจริงๆ โดยขอหน้าแบบสุ่ม อันที่จริง มีการจอง URL ไว้ด้วย: /.well-known/resource-that-should-not-exist-whose-status-code-should-not-be-200
ตัวอย่างเช่น Chrome ใช้เส้นทาง URL นี้เพื่อพิจารณาว่าจะคาดหวัง URL เปลี่ยนรหัสผ่านที่เหมาะสมจาก /.well-known/change-password
ล่วงหน้าได้หรือไม่
เมื่อคุณทำให้ /.well-known/change-password
ใช้งานได้ โปรดตรวจสอบว่าเซิร์ฟเวอร์ของคุณแสดงผล 404 Not Found
สำหรับเนื้อหาที่ไม่มีอยู่
ความคิดเห็น
หากมีความคิดเห็นเกี่ยวกับข้อกําหนดเฉพาะ โปรดแจ้งปัญหาในที่เก็บข้อมูลข้อกําหนดเฉพาะ
แหล่งข้อมูล
- URL ที่รู้จักกันดีสำหรับการเปลี่ยนรหัสผ่าน
- การตรวจหาความน่าเชื่อถือของรหัสสถานะ HTTP
- แนวทางปฏิบัติแนะนำสำหรับแบบฟอร์มลงชื่อเข้าใช้
รูปภาพโดย Matthew Brodeur ใน Unsplash