De echte reden om een ​​gebruiker zijn wachtwoord twee keer te laten typen, is om te voorkomen dat hij het verkeerd invoert. Het is heel gemakkelijk om bij het typen van een nieuw wachtwoord een hoofdletter onjuist te krijgen, of per ongeluk de letter naast het wachtwoord te typen je denkt dat je aan het typen bent.

Als dit zou gebeuren, zou de gebruiker geen toegang kunnen krijgen tot zijn account, op welk punt zwakkere vormen van beveiliging, zoals het opnieuw instellen van een wachtwoord, een rol kunnen spelen.

Twee keer typen is een snelle controle of de gebruiker consistent genoeg is om het twee keer hetzelfde te krijgen - dus ze hebben het waarschijnlijk correct.

Er is een belangrijk punt dat hier nauwelijks wordt aangeraakt, en wat meer wordt behandeld in de UX-thread die u heeft gelinkt, die ik graag zou willen benadrukken.

Het wachtwoordbevestigingsveld op zichzelf, dient geen beveiligings doel. Het dient echter als een bruikbaarheid -supplement om hoofdpijn te verminderen die anders zou kunnen worden veroorzaakt door iets dat een beveiligingsfunctie is.

De reden dat we hebben Gebruikers bevestigen hun wachtwoord omdat ze hun wachtwoord niet op het scherm kunnen zien wanneer ze het invoeren. De reden waarom we hen niet toestaan ​​het wachtwoord op het scherm te zien, is om te voorkomen dat schoudersurfers, beveiligingscamera's, gedeelde desktopgebruikers en schermopnametools het wachtwoord kunnen zien.

Als het wachtwoordveld zou moeten niet gemaskeerd blijven, dan zou het redelijk zijn om zonder wachtwoordbevestiging te doen. U kunt dit al in actie zien in sommige toepassingen (KeePass is een voorbeeld) waarmee u het wachtwoordveld selectief kunt maskeren / ontmaskeren. In die toepassingen is het wachtwoordbevestigingsveld alleen ingeschakeld als het wachtwoord is gemaskeerd.

Het doel van het wachtwoordbevestigingsvenster is als een gezondheidscontrole voor de gebruiker. Het is niet te vertrouwen dat gebruikers hun wachtwoord 100% van de tijd foutloos invoeren, en veel minder als ze het wachtwoord niet visueel kunnen verifiëren voordat het wordt verzonden. Het is echter zeer onwaarschijnlijk dat een gebruiker zijn wachtwoord twee keer achter elkaar op dezelfde manier "vetvingert". Hierdoor kan een gebruiker er relatief zeker van zijn dat hij het wachtwoord instelt op wat hij denkt te zijn, zonder de veiligheid in gevaar te brengen door het op het scherm weer te geven.

Natuurlijk moet worden begrepen dat dit het geval is. alleen nodig in de registratiefase. Dit komt omdat je tijdens de installatie maar één kans hebt om je wachtwoord in te stellen voordat je eraan vastzit. Bij het inloggen krijg je meerdere pogingen. Een eenmalige fout bij het inloggen is veel minder duur dan het zou zijn (zonder het bevestigingsveld) bij het registreren.

Het is het beste om gebruikers hun wachtwoord twee keer te laten typen, omdat:

1. ze het verkeerd hebben getypt, en ze zouden het niet weten omdat het wachtwoord is " verborgen "op hun display (het is maar een hoop '*');
2. als de gebruiker serieus is in zijn veiligheid, dan heeft hij een geheel nieuw wachtwoord gegenereerd dat hij zal moeten uit het hoofd leren. Dit soort geheugen zit in de spieren (eigenlijk in de hersencellen die de spieren direct beheren). Door de gebruiker zijn gloednieuwe wachtwoord tweemaal te laten typen, betekent dit dat de kans halvering wordt gehalveerd dat hij het over tien minuten vergeten is.

We vereisen niet dat de gebruikers het wachtwoord driemaal invoeren, omdat ze dan boos zouden worden.

Er is hier een belangrijk punt:

Het bevestigingsvak bestaat specifiek omdat het wachtwoordvak traditioneel uw invoer maskeert. De vraag is niet bevestig je of niet , de vraag is maskeer je het wachtwoord of niet . Als u de wachtwoordinvoer maskeert, moet bevestigen, anders kan de gebruiker onjuist invoeren en niet weten. Maar als u het wachtwoord weergeeft terwijl de gebruiker het invoert, kan hij zelf zien of hij het correct heeft ingevoerd.

Het voordeel van het maskeren van het wachtwoord is dat het deze gevoelige informatie verbergt voor omstanders die aan het surfen zijn. Het nadeel is dat het moeilijker wordt om te bevestigen dat je het ding correct hebt getypt.

De algemene consensus is dat het beter is om je aan de kant van de veiligheid te vergissen, en de meeste gebruikers verwachten inderdaad dat je dat doet. Als u ze een ongemaskeerd wachtwoordveld geeft, krijgen gebruikers over het algemeen de indruk dat u niet weet wat u doet.

Dit heeft niets te maken met beveiliging, maar met gebruikerservaring. Uw gebruikers zullen gefrustreerd raken als ze niet kunnen inloggen op hun nieuwe account omdat ze het wachtwoord verkeerd hebben getypt bij het registreren. Het veld voor het opnieuw typen van het wachtwoord is er om te controleren of de gebruiker het de eerste keer correct heeft getypt. Het heeft niet veel met beveiliging te maken, want het heeft geen invloed op de rest - je kunt bij de client kijken of de wachtwoorden overeenkomen; het hoeft niet via het web of zoiets te worden verzonden.