De OVpay-app houdt niet van veilige wachtwoorden

Goede, veilige én gebruiksvriendelijke interfaces ontwerpen is best een flinke uitdaging, merk ik vaak als ik ergens op een website of app wil inloggen. Wachtwoorden moeten 'sterk' zijn, er moeten soms twee factoren voor het inloggen worden gebruikt, er zijn soms passkeys, de mogelijkheden zijn eindeloos. Maar om het op zo'n manier in te richten dat het voor gebruikers beheersbaar wordt, dat lukt niet altijd.

Mijn grootste ergernis is overigens loginschermen waarbij je eerst je gebruikersnaam invult, dan op een knop moet klikken, en dan pas je wachtwoord kunt invullen. Dat blokkeert de eenvoudige, gebruiksvriendelijke flow van een wachtwoordmanager, die ik bij zulke logins dan twee keer moet activeren. Dat kan behoorlijk frustrerend zijn (zeker op een telefoon). Tip: toon in je loginscherm gewoon altijd de velden voor gebruikersnaam én wachtwoord tegelijk.

Maar ook het aanmaken van accounts is soms niet goed ingericht. Zoals in de app van OVpay. Als je een account wil aanmaken vul je een mailadres in, krijg je een code in je mail, vul je die code in, en krijg je een scherm waar je twee keer een sterk wachtwoord moet invullen. Ik maak wachtwoorden altijd in mijn wachtwoordmanager, dus ook hier deed ik dat. Login generereren, opslaan, wachtwoord kopiëren, plakken in wachtwoordveld. Daarna tikken op tweede wachtwoordveld, en dan weer plakken. Alleen: in de app was voor alléén het tweede wachtwoordveld het plakken uitgeschakeld. De optie 'plak' verscheen niet, hoe subtiel of expliciet ik ook op het veld tikte met mijn vinger.

Waarom is dat een probleem? Ik had een lang (laaaaaaang) wachtwoord laten genereren, met allerlei letters, cijfers en andere tekens. Eentje die je niet gaat zitten overtypen van de ene iPhone-app naar de andere (dat is ondoenlijk). Eentje die je alleen kunt laten auto-invullen of kunt kopiëren. Maar automatisch invullen werkt in een aanmaakscherm niet, en het plakken was geblokkeerd.

Ik heb uiteindelijk mijn telefoon weggestopt en het opnieuw geprobeerd toen ik weer achter een computer zat; dezelfde flow werkt op de website wel, inclusief plakken. Daar was het zo gebeurd.

De les voor ontwikkelaars hier is: denk goed na over wat je wel en niet mogelijk maakt in het kader van veiligheid en gebruiksvriendelijkheid in een app of website. Tweemaal een wachtwoord invoeren geldt als validatiestap, om te voorkomen dat je ongemerkt een ander wachtwoord opslaat dan je denkt. Dat is voor een gebruiker vervelend om te moeten doen, maar begrijpelijk. Maar de plakfunctionaliteit in een veld blokkeren kan alleen maar als bedoeling hebben dat de gebruiker een wachtwoord (dat lastig te onthouden moet zijn), handmatig moet intikken. Dat is op geen enkele manier logisch; het beste wachtwoord is niet te onthouden en veel gedoe om handmatig in te typen, en veilige gebruikers gebruiken een wachtwoordmanager.

Maak het dus volledig mogelijk om een wachtwoordmanager te gebruiken, want daarmee ondersteun je gebruiksvriendelijkheid én veiligheid. Test er ook expliciet mee, op verschillende apparaten.