Şifre değiştirme konusunda bilinen bir URL ekleyerek kullanıcıların şifreleri kolayca değiştirmesine yardımcı olun.

/.well-known/change-password adresine gönderilen bir isteği şifre değiştirme URL'sine yönlendir

Eiji Kitamura

/.well-known/change-password adresinden web sitenizin şifre değiştirme sayfasına bir yönlendirme ayarlayın. Böylece şifre yöneticileri, kullanıcılarınızı doğrudan ilgili sayfaya yönlendirebilir.

Giriş

Bildiğiniz gibi şifreler, hesapları yönetmenin en iyi yolu değildir. Neyse ki, WebAuthn gibi yeni teknolojiler ve tek kullanımlık şifre gibi teknikler, şifrelerin olmadığı bir dünyaya daha da yaklaşmamıza yardımcı oluyor. Ancak bu teknolojiler hâlâ geliştirilmeye devam etmektedir ve işler hızla değişmeyecektir. Birçok geliştirici, en azından önümüzdeki birkaç yıl boyunca şifrelerle ilgilenmeye devam edecektir. Yeni teknolojilerin ve tekniklerin sıradan hale gelmesini beklerken en azından şifrelerin kullanımını kolaylaştırabiliriz.

Şifre yöneticileri için daha iyi destek sağlamak, bunu iyi bir şekilde yapabilir.

Şifre yöneticileri nasıl yardımcı olur?

Şifre yöneticileri tarayıcılarda yerleşik olarak bulunabilir veya üçüncü taraf uygulamaları olarak sağlanabilir. Bunlar kullanıcılara çeşitli şekillerde yardımcı olabilir:

Doğru giriş alanı için şifreyi otomatik olarak doldur: Web sitesi bu amaç için optimize edilmemiş olsa bile bazı tarayıcılar doğru girişi sezgisel olarak bulabilir. Web geliştiricileri, HTML giriş etiketlerine doğru ek açıklamalar ekleyerek şifre yöneticilerine yardımcı olabilir.

Kimlik avını önleme: Şifre yöneticileri şifrenin kaydedildiği yeri hatırladıkları için şifre yalnızca uygun URL'lerde otomatik olarak doldurulabilir, kimlik avı web sitelerinde doldurulamaz.

Güçlü ve benzersiz şifreler oluşturun: Güçlü ve benzersiz şifreler doğrudan şifre yöneticisi tarafından oluşturulup depolandığından kullanıcıların şifrenin tek bir karakterini hatırlaması gerekmez.

Şifre yöneticisi kullanarak şifre oluşturmak ve otomatik doldurmak web'de zaten iyi bir hizmet olmuştur ancak bu uygulamaların yaşam döngüsünü göz önünde bulundurmak gerektiğinde şifreleri güncellemek, oluşturma ve otomatik doldurma kadar önemlidir. Şifre yöneticileri, bundan doğru bir şekilde yararlanmak için yeni bir özellik ekliyor:

Güvenlik açığı olan şifreleri tespit edip güncelleme önerisinde bulunun: Şifre yöneticileri yeniden kullanılan şifreleri algılayabilir, entropi ve zayıflıklarını analiz edebilir, hatta potansiyel olarak sızdırılmış şifreleri veya Şahsedilmişim gibi kaynaklardan güvenli olmadığı bilinen şifreleri tespit edebilir.

Şifre yöneticisi, kullanıcıları sorunlu şifreler konusunda uyarabilir, ancak kullanıcılardan ana sayfadan şifre değiştirme sayfasına gitmelerini isteme, gerçek şifre değiştirme işlemini tamamlamanın (bu işlem siteden siteye değişir) çok fazla olmasını sağlar. Şifre yöneticileri kullanıcıyı doğrudan şifre değişikliği URL'sine yönlendirebilseydi bu işlem çok daha kolay olurdu. Şifreleri değiştirmek için iyi bilinen bir URL burada işe yarar.

Web sitesi, kullanıcıyı şifre değiştirme sayfasına yönlendiren iyi bilinen bir URL yolunu ayırarak, şifrelerini değiştirmeleri için kullanıcıları kolayca doğru yere yönlendirebilir.

"Şifreleri değiştirmek için iyi bilinen bir URL" ayarlama

.well-known/change-password, şifre değiştirmede iyi bilinen bir URL olarak önerilir. Tek yapmanız gereken, sunucunuzu .well-known/change-password isteklerini web sitenizin şifre değiştirme URL'sine yönlendirecek şekilde yapılandırmaktır.

Örneğin, web sitenizin https://example.com ve şifre değiştirme URL'sinin https://example.com/settings/password olduğunu varsayalım. Tek yapmanız gereken, sunucunuzu https://example.com/.well-known/change-password isteğini https://example.com/settings/password hedefine yönlendirecek şekilde ayarlamaktır. Bu kadar basit. Yönlendirme için 302 Found, 303 See Other veya 307 Temporary Redirect HTTP durum kodunu kullanın.

Alternatif olarak, http-equiv="refresh" kullanarak .well-known/change-password URL'nizde <meta> etiketi ile HTML sunabilirsiniz.

<meta http-equiv="refresh" content="0;url=https://example.com/settings/password">

Şifre değiştirme sayfanızın HTML'sini yeniden ziyaret edin

Bu özelliğin amacı, kullanıcı şifresinin yaşam döngüsünün daha akıcı olmasına yardımcı olmaktır. Kullanıcının şifresini sorunsuz bir şekilde güncellemesini sağlamak için iki şey yapabilirsiniz:

  • Şifre değiştirme formunuzda mevcut şifre gerekiyorsa şifre yöneticisinin şifreyi otomatik olarak doldurmasına yardımcı olmak için <input> etiketine autocomplete="current-password" ekleyin.
  • Yeni şifre alanı için (kullanıcının yeni şifreyi doğru bir şekilde girdiğinden emin olmak için çoğu durumda iki alan kullanılır) şifre yöneticisinin oluşturulmuş bir şifre önermesine yardımcı olmak için <input> etiketine autocomplete="new-password" ekleyin.

Daha fazla bilgi için Oturum açma formuyla ilgili en iyi uygulamalar bölümüne bakın.

Gerçek dünyada nasıl kullanılır?

Örnekler

Apple Safari'nin uygulaması sayesinde /.well-known/change-password, bir süredir bazı büyük web sitelerinde zaten kullanılabiliyor:

Bunları kendiniz deneyin ve aynısını sizin için yapın!

Tarayıcı uyumluluğu

Şifre değiştirmeyle ilgili bilinen bir URL, Safari'de 2019'dan beri desteklenmektedir. Chrome'un şifre yöneticisi, sürüm 86'dan itibaren bu özelliği desteklemeye başlıyor (Ekim 2020'nin sonlarında Kararlı sürümünün kullanıma sunulması planlanmıştır) ve bunu, Chromium tabanlı diğer tarayıcılar da uygulayabilir. Firefox bunu uygulamaya değer olarak değerlendirmektedir ancak Ağustos 2020 itibarıyla bunu yapmayı planladığını belirtmemiştir.

Chrome'un şifre yöneticisi davranışı

Chrome'un şifre yöneticisinin, güvenlik açığı olan şifreleri nasıl ele aldığına göz atalım.

Chrome'un şifre yöneticisi, şifre sızıntısı olup olmadığını kontrol edebilir. Kullanıcılar about://settings/passwords bölümüne giderek kayıtlı şifrelerde Şifreleri kontrol et özelliğini çalıştırabilir ve güncellenmesi önerilen şifrelerin listesini görebilir.

Chrome'un Şifreleri kontrol et işlevi

Güncellenmesi önerilen bir şifrenin yanındaki Şifreyi değiştir düğmesini tıkladığınızda tarayıcı:

  • /.well-known/change-password doğru ayarlanmışsa web sitesinin şifre değiştirme sayfasını açın.
  • /.well-known/change-password ayarlanmamışsa ve Google yedeği bilmiyorsa web sitesinin ana sayfasını açın.
/.well-known/change-password yoksa bile sunucu 200 OK değerini döndürürse ne olur?

Şifre yöneticileri, bir web sitesinin kullanıcıyı bu URL'ye yönlendirmeden önce /.well-known/change-password adresine istek göndererek şifre değiştirmek için bilinen bir URL'yi destekleyip desteklemediğini belirlemeye çalışır. İstek 404 Not Found değerini döndürürse URL'nin kullanılabilir olmadığı açıktır ancak 200 OK yanıtı, birkaç uç durum söz konusu olduğundan URL'nin kullanılabilir olduğu anlamına gelmez:

  • Sunucu tarafı oluşturma web sitesinde, 200 OK dışında içerik olmadığında "Bulunamadı" mesajı gösterilir.
  • "Bulunamadı" sayfasına yönlendirme yapıldıktan sonra içerik olmadığında, sunucu tarafı oluşturma yapan bir web sitesi 200 OK ile yanıt verir.
  • Tek sayfalık uygulamalar 200 OK ile kabuk ile yanıt verir ve içerik olmadığında istemci tarafında "Bulunamadı" sayfasını oluşturur.

Bu sıra dışı durumlarda kullanıcılar "Bulunamadı" sayfasına yönlendirilir ve bu da kafa karışıklığına yol açar.

Bu nedenle, sunucunun gerçekten hiçbir içerik olmadığında rastgele bir sayfa isteyerek 404 Not Found ile yanıt verecek şekilde yapılandırılıp yapılandırılmadığını belirlemek için önerilen bir standart mekanizma vardır. Aslında, URL aynı zamanda ayrılmış: /.well-known/resource-that-should-not-exist-whose-status-code-should-not-be-200. Örneğin Chrome, /.well-known/change-password adresinden uygun bir şifre değiştirme URL'si alıp bekleyemeyeceğini önceden belirlemek için bu URL yolunu kullanır.

/.well-known/change-password dağıtımını yaparken sunucunuzun var olmayan tüm içerikler için 404 Not Found döndürdüğünden emin olun.

Geri bildirim

Spesifikasyonla ilgili geri bildiriminiz varsa lütfen spesifikasyon deposuna sorun bildirin.

Kaynaklar

Fotoğraf: Matthew Brodeur'un Unsplash'teki fotoğrafı