Kayıt Formu Terk Ediliyorsa Sorun Kullanıcıda Değil
Kayıt formunu dolduran biri servisi kullanmaya zaten karar vermiş demektir; o noktada işi bırakıyorsa hata kullanıcıda değil, formda aranır. Terk oranı bir motivasyon sorunu değil, tasarım sorunudur. Aşağıda alan sayısından parola kurallarına, sürtünmeyi nereye koyacağınızdan bunu nasıl ölçeceğinize kadar kararları tek tek ele alıyorum.
Her alan bir kayıp noktasıdır
Formdaki her zorunlu alan, birinin işi bırakabileceği bir yerdir. "İleride lazım olur" diye eklenen şirket adı, telefon, doğum tarihi gibi alanlar dönüşümü doğrudan düşürür. Kural basit: kayıt anında gerçekten gerekmeyen hiçbir şeyi kayıt anında isteme. Geri kalanı hesap oluştuktan sonra, kullanıcı servisin değerini gördüğünde toplanır.
Bir kayıt formunda alan bazında bırakma oranına baktığımızda, insanların büyük kısmının tek bir isteğe bağlı alanda durup gittiğini görmüştük; o alanı kaldırınca tamamlanma belirgin şekilde arttı. "Zorunlu değil" etiketi bile yeterli değildi, alanın orada durması tek başına yavaşlatıyordu.
E-postayı kullanıcı adı olarak kabul edin
Ayrı bir kullanıcı adı üretmek kullanıcıya iş yükler ve hiçbir şey kazandırmaz. E-posta adresi global olarak benzersizdir, unutulma oranı düşüktür ve zaten doğrulamak zorunda olduğunuz alandır. Kullanıcı adını ayrı tutmanın tek meşru gerekçesi, kimliğin herkese açık gösterileceği bir üründür; forum, topluluk, profil sayfası gibi. Böyle bir ihtiyaç yoksa e-posta yeterlidir, ikinci bir kimlik alanı kurmak boşa mühendisliktir.
Parola kuralları güvenlik değil, tiyatrodur
"En az bir büyük harf, bir rakam, bir sembol, son üç paroladan farklı" tarzı kurallar güvenliği artırmaz, insanları tahmin edilebilir kalıplara (Parola1! gibi) iter. Güncel güvenlik rehberleri de bu yönde: uzunluğu teşvik edin, karmaşıklık zorunluluğunu bırakın, sızmış parola listelerine karşı kontrol edin. Parolayı gösterme seçeneği koyun; gizli yıldızlar güvenlik sağlamaz, sadece yazım hatasını gizler.
Sürtünmeyi değere göre yerleştirin
Kayıt sürecini sadeleştirmekle güvenlik eklemek çelişkili görünür, ama çelişki sürtünmenin varlığında değil, yerinde. Sürtünmeyi işlemin değeriyle orantılı koyun: hesap açarken minimum, para çekerken ya da hassas ayar değiştirirken fazla. İki faktörlü doğrulamayı kayıt anında zorunlu kılmak çoğu üründe gereksiz sürtünmedir; hesap oluştuktan sonra, kullanıcı devam etmeye kararlıyken sunun.
Bir noktayı da düzeltmek gerekiyor: SMS doğrulamanın "iki faktörlü doğrulamaya alternatif" olarak anıldığını sık görüyorum, oysa SMS zaten bir iki faktörlü yöntemidir, sadece zayıf olanıdır (SIM swap ve araya girme saldırılarına açıktır). Doğru karşılaştırma SMS ile 2FA değil, SMS ile authenticator uygulaması (TOTP) arasındadır. Güvenliği önemseyen bir akışta varsayılan TOTP olmalı, SMS ancak yedek kanal olarak durmalı.
Hata mesajı düzeltilebilir olmalı
"Formunuzda hata var" bir hata mesajı değil, kullanıcıyı yalnız bırakmanın kibar halidir. Mesaj hangi alanda, ne olduğu ve nasıl düzeltileceği bilgisini taşımalı: "E-posta adresinin sonunda boşluk var" düzeltilebilir, "geçersiz e-posta" değildir. Hatayı ilgili alanın yanında gösterin, formun tepesinde tek bir kırmızı kutuda değil.
Ölçmediğiniz formu iyileştiremezsiniz
Buradaki kararların hangisinin sizin formunuzda işe yaradığını sezgi söylemez, veri söyler. Formu alan bazında izleyin: kim hangi alanda duruyor, kim submit'e basıp hata alıyor, kim geri dönüyor. Bu tür bir huni ölçümü çoğu analitik aracında birkaç olay tanımıyla kurulur ve tahmin ettiğiniz "fazla" alanın gerçekten fazla olup olmadığını net gösterir. Terk oranı tek bir sayı değildir; nerede terk edildiğini bilmeden hangi alanı kaldıracağınıza karar veremezsiniz.