Mobil Kayıt ve Giriş Formları: Neyi Kısaltmalı, Neyi Kısaltmamalı

Mobil formda kaybedilen kullanıcı çoğu zaman formu beğenmediği için değil, o sırada yürüdüğü ya da acelesi olduğu için kayboluyor. Küçük klavye, gizlenmiş şifre alanı ve uygulamalar arasında gidip gelme üst üste binince kayıt yarıda kalıyor. Aşağıdakiler alan sayısını azaltmaktan ibaret değil; hangi kolaylığın gerçekten kolaylık olduğuna dair.

Kaydı zorunlu tutmadan önce neyi koruduğuna karar ver

Kayıt ekranı, ürünle kullanıcı arasına konan ilk duvardır. Bazı ürünlerde bu duvar gerekli, çünkü verinin bir sahibi olması gerekiyor. Çoğu içerik ve katalog sitesinde ise kayıt, ürünün kendisini denemeden önce isteniyor ve kullanıcı henüz ne alacağını bilmeden bilgi vermek zorunda kalıyor.

Bunun yerine misafir kullanımı açık bırakmak, kaydı da kullanıcının bir şey biriktirdiği ana ertelemek işi kökten kolaylaştırır. Sepetini dolduran, listesini oluşturan, bir taslak yazan kullanıcıya kayıt teklif ettiğinde artık ortada korumaya değer bir şey vardır ve kayıt bir engel değil, o şeyin kaybolmasını önleyen adım olur.

İlk adımda yalnızca hesabı var edecek alanlar

Kayıt formunun ilk ekranında bir kimlik bilgisi ve bir şifre yeterli. Ad, telefon, doğum tarihi, adres gibi alanların hepsi sonradan da toplanabilir, üstelik daha yüksek doldurulma oranıyla toplanır, çünkü o noktada kullanıcı ürünü zaten kullanıyordur.

Her ek alanın maliyeti klavyeyle de artıyor. Mobilde harf, rakam ve simge katmanları arasında geçiş yapmak masaüstündeki tuş basımına benzemiyor; alan sayısı arttıkça bu geçişler birikiyor. Alanın giriş türünü doğru işaretlemek bunun bir kısmını geri kazandırır: e-posta alanına type="email", sayısal alanlara inputmode="numeric" vermek, kullanıcıya doğru klavyeyi ilk seferde açar.

Formu şifre yöneticisine ve tarayıcıya tarif et

Mobil kullanıcıların büyük kısmı şifresini akılda tutmuyor, bir yerde saklıyor. Formun işi bu araca ne olduğunu anlatmak. Alanlara autocomplete değerlerini doğru vermek bunun tamamını hallediyor: kullanıcı adı alanına username, giriş formunun şifre alanına current-password, kayıt formundakine new-password.

Bunu yapmayan bir form, otomatik doldurmayı da şifre önerisini de kaybeder. Daha kötüsü, şifre alanında yapıştırmayı engellemek. Bu kısıtlama güvenlik gerekçesiyle konuyor ama sonucu tam tersi: şifre yöneticisi devre dışı kaldığı için kullanıcı akılda tutabileceği zayıf bir şifre seçiyor.

• Yapıştırmayı ve otomatik doldurmayı engelleme.
• Etiketi label olarak yaz, yalnızca placeholder ile yetinme; kullanıcı yazmaya başladığı anda placeholder kayboluyor ve alanın ne istediği görünmez oluyor.
• Şifre kurallarını alanın yanında, kullanıcı yazmadan önce göster. Kuralı ancak reddedince öğrenmek, formu iki kez doldurmak demek.

Şifreyi iki kez sordurma, bir kez göster

Şifreyi doğrulatmak için ikinci bir alan koymak masaüstü alışkanlığı. Amacı yazım hatasını yakalamak, ama mobilde yaptığı şey aynı zahmetli girişi ikiye katlamak. Göz ikonuyla şifreyi görünür kılmak aynı işi tek alanda çözer ve kullanıcı ne yazdığını gerçekten görür.

Aynı mantık e-posta alanı için de geçerli. İki kez e-posta istemek yerine, kayıt sonrası ekranda adresi büyük puntoyla gösterip düzeltme bağlantısı koymak hem daha kısa hem daha güvenilir.

Parmak izi şifreyi ortadan kaldırmaz, sakladığı yeri değiştirir

Biyometrik giriş çoğu yazıda şifresiz giriş gibi anlatılıyor. Teknik olarak olan şey farklı: parmak izi ya da yüz tanıma, cihazda saklanan bir anahtarın kilidini açar; sunucuya giden şey parmak izin değil, o anahtarla üretilen imzadır. Yani sunucu tarafında hâlâ bir kimlik doğrulama akışı kurman gerekiyor.

Bunun bugünkü standart karşılığı geçiş anahtarları (passkey). Cihazda üretilen anahtar çiftiyle çalıştığı için sunucuda saklanacak bir şifre kalmıyor, dolayısıyla sızdırılacak bir şifre de kalmıyor. Yeni bir kayıt akışı kuran biri için şifreyi tek yöntem olarak kurgulamak artık gereksiz; şifre, geçiş anahtarının çalışmadığı cihazlar için yedek yol olarak durabilir.

SMS doğrulama bir güvenlik kararı değil, kolaylık kararıdır

E-posta ile onay akışı kullanıcıyı uygulamadan çıkarıp posta kutusuna gönderiyor, oradan geri dönmeyen çok oluyor. SMS bu yüzden daha akıcı görünüyor, doğrusu da bu. Ama akıcı olması güvenli olduğu anlamına gelmiyor: SIM değiştirme saldırıları ve operatör tarafındaki zayıflıklar nedeniyle SMS, ikinci faktörler arasında en zayıf olanı sayılıyor.

Doğrulamayı yalnızca SMS'e bağlamam. Hesap kurtarma yolu da SMS'ten geçiyorsa, en güçlü şifreyi bile telefon numarası kadar güvenli yapmış olursun. SMS'i tek başına akıcılık için kullanacaksan da asıl kazanç kodu elle taşımaktan kurtulmakta: kod alanına autocomplete="one-time-code" vermek, gelen mesajdaki kodu klavyenin üstünde önerir ve kullanıcı uygulamadan hiç çıkmaz.

Hatayı alanın yanında, kullanıcı oradayken söyle

Formu gönderdikten sonra sayfanın tepesinde beliren hata listesi mobilde çalışmıyor, çünkü kullanıcı o sırada sayfanın altında ve klavye ekranın yarısını kaplıyor. Doğrulamayı alan bazında, kullanıcı o alandan çıkarken yapmak, hatayı da o alanın hemen altına yazmak gerekiyor.

Mesajın kendisi de ne olduğunu değil ne yapılacağını söylemeli. Geçersiz giriş yerine, şifre en az sekiz karakter olmalı. Bu ayrım ekran okuyucu kullananlar için ayrıca belirleyici: hata metni alanla ilişkilendirilmemişse, kullanıcı yalnızca bir yerde bir sorun olduğunu duyar, nerede olduğunu değil.