从可用性的角度来看,实现密码恢复的最佳方法是什么?

我不喜欢当一个新的一次性密码发送给我,让我登录和编辑它在我的个人资料。

有什么比点击激活链接并输入新密码更简单的呢?

如果它的可用性,那么也许存储在纯文本密码,并允许他们被发送到注册的电子邮件地址的要求是足够的,并有可能比更安全的选择更可用。

如果安全是答案,那么陷门编码和密码重置是更好的选择。

根据经验,我建议如下:

2. 电子邮件包含(至少)密码重置链接。

虽然从可用性的角度来看这可能并不理想(在一个理想的世界里,首先你不必拥有密码,让我们面对它),但是它确实试图确保你正在执行一个合法的密码重置。

或者(或者结合上述内容),您可以允许用户存储一个简单的密码提醒文本字符串,该字符串也出现在第一封出站电子邮件中(如果他们在这个阶段意识到密码是什么,他们可以简单地输入密码,而不必执行重置。)然而,我不建议将其输出到网站本身,因为它可能是一个太强的线索。

从可用性的角度?如果一个登录连续失败三次,假设他们已经合法地忘记了他们的密码,让他们无论如何,并提示更改密码。

对于低安全性帐户,我见过的最好的系统之一就是发送链接。用户不需要记住网站的网址,用户名或密码。该网站不会了解用户在管理密码方面的任何弱点。