Nutzern helfen, Passkeys effektiv zu verwalten

Eiji Kitamura

Passkeys entwickeln sich schnell zu einer sichereren, einfacheren und schnelleren Alternative zu Passwörtern, die mehr Sicherheit und Nutzerfreundlichkeit bietet. Damit Passkeys ihr volles Potenzial ausschöpfen können, muss die Nutzerfreundlichkeit bei der Verwaltung sorgfältig berücksichtigt werden. In diesem Dokument werden Richtlinien und optionale Funktionen für die Entwicklung eines intuitiven, sicheren und robusten Passkey-Verwaltungssystems beschrieben.

Mehrere Passkeys verwalten

Nutzern soll es ermöglicht werden, mehrere Passkeys hinzuzufügen und mehrere Anbieter zu verwenden. Lassen Sie ihn aber nicht mehr als einen Passkey für dasselbe Konto beim selben Anbieter hinzufügen. Wenn ein Nutzer den Zugriff auf einen Anbieter verliert, weil die Plattform ihn beispielsweise nicht unterstützt, kann er sich mit einem anderen Passkey eines anderen Anbieters anmelden. So wird das Risiko von Kontosperrungen verringert. Ihre Datenbank muss das Speichern mehrerer Passkeys pro Nutzer unterstützen.

Liste der registrierten Passkeys anzeigen

Ihre Website oder App sollte registrierte Passkeys in einer Liste mit wichtigen Details anzeigen, damit Nutzer sie effektiv verwalten können. Dieser Screenshot zeigt, wie eine solche Seite zur Passkey-Verwaltung aussehen könnte. Es zeigt, wie ein Nutzer Passkeys auf mehreren Plattformen erstellen und zentral verwalten kann.

Beispiel für eine Passkey-Verwaltungsseite mit Best Practices
Beispiel für eine Seite zur Passkey-Verwaltung mit Best Practices.

Hier sind einige der gängigen Details und Funktionen, die Websites und Apps zu einem Passkey anzeigen können:

  • Passkey-Name: Der Name des Passkeys, der bei der Registrierung angegeben wurde. Idealerweise stimmt dieser Name mit dem Passkey-Anbieter überein, bei dem er erstellt wurde, basierend auf der AAGUID. Wenn kein passender Passkey-Anbieter gefunden wird, sollte es ausreichen, ihn anhand der Geräteinformationen aus dem User-Agent-String zu benennen.
  • Logo des Passkey-Anbieters: Hier wird das Logo des Passkey-Anbieters angezeigt. So kann der Nutzer den Passkey leichter identifizieren, den er verwalten möchte.
  • Zeitstempel für die Erstellung und letzte Verwendung des Passkeys: Wenn der Zeitstempel für die Erstellung und die letzte Verwendung des Passkeys erfasst und angezeigt wird, kann der Nutzer den Passkey leichter identifizieren, den er verwalten möchte.
  • Indikator für keine Synchronisierung: Passkeys werden standardmäßig synchronisiert, aber die Synchronisierungsfunktion der Passkey-Anbieter befindet sich noch in der Entwicklungsphase. Es ist eine häufige Verwirrung, wenn ein Passkey nicht wie erwartet synchronisiert wird. Wenn Sie Nutzern anzeigen, dass ein Passkey nicht synchronisiert werden kann, können Sie diese Verwirrung beseitigen.
  • Schaltfläche „Löschen“: Damit können Nutzer den Passkey löschen. Weitere Informationen finden Sie unter Löschen eines Passkeys zulassen.
  • Schaltfläche „Bearbeiten“: Viele Nutzer schätzen die Möglichkeit, Passkeys umzubenennen. Das ist beispielsweise der Fall, wenn es mehrere Passkeys vom selben Passkey-Anbieter, aber mit unterschiedlichen Anbieterkonten gibt. Angenommen, Sie speichern mehrere Passkeys in verschiedenen Google-Konten. Wenn Sie dem Nutzer erlauben, den Passkey umzubenennen, kann er ihn in einen beliebigen Namen ändern.
  • Browser, Betriebssystem oder IP-Adresse der letzten Anmeldung: Optional können Sie Details zur letzten Anmeldung angeben, damit der Nutzer verdächtige Anmeldungen erkennen kann. Der Browser, das Betriebssystem oder die IP-Adresse (oder der Standort), die für die Anmeldung verwendet wurden, können sehr hilfreich sein.

Löschen eines Passkeys zulassen

Nutzern erlauben, einen Passkey zu löschen. So können sie die Liste übersichtlich gestalten, z. B. wenn ein Nutzer zu einem neuen Gerät wechselt, der zugehörige Passkey aber mit dem älteren Gerät verknüpft ist. Es ist auch hilfreich, wenn ein Angreifer ein Nutzerkonto hackt und einen Passkey für die zukünftige Verwendung erstellt.

Aktualisierte Liste der Passkeys signalisieren

Wenn Sie einen Passkey löschen, werden die Anmeldedaten und der öffentliche Schlüssel aus der Serverdatenbank entfernt. Dadurch wird der Passkey aus der Liste der registrierten Passkeys entfernt und der Nutzer sieht, dass der Passkey gelöscht wurde. Tatsächlich wird er jedoch nur vom Server entfernt. Der beim Passkey-Anbieter gespeicherte Passkey bleibt erhalten, was zu Verwirrung führen kann. Wenn sich der Nutzer das nächste Mal anmeldet, wird der entfernte Passkey weiterhin als Anmeldeoption angezeigt. Die Authentifizierung damit schlägt jedoch fehl, da der entsprechende öffentliche Schlüssel bereits vom Server gelöscht wurde.

Um Verwechslungen zu vermeiden, ist es wichtig, dass der Passkey bei einem Passkey-Anbieter und der öffentliche Schlüssel auf dem Server übereinstimmen. Dazu müssen Sie dem Passkey-Anbieter die aktualisierte Liste der Passkeys senden. Wenn der Browser und der Passkey-Anbieter die Signal API unterstützen, können sie die Liste der Passkeys aktualisieren und nicht mehr benötigte Passkeys löschen. Wenn die API nicht unterstützt wird, bitte den Nutzer, den Passkey manuell zu löschen.

Letzten Passkey löschen

Wenn ein Nutzer versucht, seinen letzten verbleibenden Passkey für ein bestimmtes Konto zu löschen, muss er wissen, dass er sich dann mit einer anderen Option anmelden muss, die mehr Aufwand und möglicherweise weniger Schutz bietet. Wenn dies die einzige Anmeldemethode für Ihre Website ist, kann er sich nicht mehr anmelden. Informieren Sie die Nutzer darüber, wie sie sich das nächste Mal anmelden können, z. B. mit einer Back-up-Methode, falls verfügbar, oder bitten Sie sie, vor dem Fortfahren einen weiteren Passkey zu registrieren. Das ist eine gute Gelegenheit, Feedback dazu einzuholen, warum sie sich gegen einen Passkey entschieden haben.

Erstellung neuer Passkeys zulassen

Es gibt zwar Möglichkeiten, Passkeys während des gesamten Nutzungsvorgangs zu erstellen (z. B. direkt nach der Anmeldung), aber es ist wichtig, einen zentralen Hub zu haben, in dem Nutzer jederzeit neue Passkeys erstellen, Passkeys löschen und Passkeys verwalten können. Am besten eignet sich dafür ein Bildschirm zur Passkey-Verwaltung.

Folgen Sie der Anleitung im Entwicklerhandbuch Passkey für passwortlose Anmeldungen erstellen, um einen Nutzerfluss für Passkeys zu erstellen. Für eine erweiterte Sicherheit können Sie Nutzern erlauben, einen Passkey auf einem Hardware-Sicherheitstoken zu erstellen. Nutzer, die bereit sind, Passkeys zu verwalten, sind in der Regel versierter oder erfahrener. Wenn Sie ihnen erlauben, einen Passkey auf ihrem Sicherheitsschlüssel zu erstellen, erhalten Sie mehr Flexibilität.

Wenn Sie Passkeys auf einem Hardware-Sicherheitstoken speichern möchten, lassen Sie authenticatorSelection.authenticatorAttachment bei einer Anfrage zum Erstellen eines Passkeys leer, anstatt es auf "platform" festzulegen. So akzeptiert der Browser sowohl Plattform- (Geräte-) als auch Roaming-Authentifikatoren (Sicherheitsschlüssel), ohne dass sich die Nutzererfahrung wesentlich von der Nutzung eines Plattform-Authentifikators unterscheidet. Die Option zum Erstellen eines Passkeys auf einem Sicherheitsschlüssel wird als sekundäre Option angezeigt.

Checkliste

  • Nutzern erlauben, Passkeys auf einer Seite zur Passkey-Verwaltung zu verwalten.
  • Unterstützung für die Registrierung mehrerer Passkeys.
  • Nutzern erlauben, auf der Seite „Verwaltung“ neue und flexible Arten von Passkeys hinzuzufügen
  • Den Namen des Passkeys anzeigen.
  • Gibt an, ob ein Passkey synchronisiert werden kann oder nicht.
  • Nutzern erlauben, einen öffentlichen Schlüssel vom Server zu entfernen
  • Die Liste der Passkeys informieren, wenn ein verknüpfter öffentlicher Schlüssel vom Server entfernt wird.

Weitere UX-Leitfäden