przycisk „Zaloguj się”

Przycisk „Zaloguj się” inicjuje proces uwierzytelnienia użytkownika w systemie.

Co dzieje się po naciśnięciu przycisku

Przycisk logowania to zwykle element wysyłający formularz, w którym login i hasło jadą metodą POST, a nie w adresie strony. Ta różnica ma znaczenie praktyczne: dane wysłane metodą GET zostają w historii przeglądarki, w zakładkach i w dziennikach serwera pośredniczącego. Formularz powinien działać przez połączenie szyfrowane, a pola mieć poprawnie ustawione atrybuty autouzupełniania, dzięki którym menedżer haseł rozpoznaje, gdzie wstawić dane. Naciśnięcie klawisza Enter w polu hasła musi dawać ten sam efekt co kliknięcie, bo znaczna część użytkowników nigdy nie sięga po mysz.

Po stronie serwera przesłane dane porównywane są nie z hasłem, lecz z jego skrótem wyliczonym funkcją przeznaczoną do haseł, celowo powolną. Prawidłowo zbudowany system nie zna hasła użytkownika i nie potrafi go odesłać, może wyłącznie ustawić nowe.

Komunikaty błędu i ochrona przed zgadywaniem

Komunikat po nieudanej próbie powinien być jednakowy niezależnie od tego, czy nie istnieje konto, czy nie zgadza się hasło. Rozróżnienie tych dwóch przypadków pozwala obcemu sprawdzić, które adresy są zarejestrowane w systemie, i przygotować atak wyłącznie na istniejące konta. Drugą warstwą jest ograniczanie tempa prób: opóźnienie po kilku pomyłkach, wymaganie dodatkowego potwierdzenia, wreszcie czasowa blokada konta. Trzecią, najskuteczniejszą, drugi składnik uwierzytelnienia, po którym samo poznanie hasła przestaje wystarczać.

Formularz powinien też chronić się przed wysłaniem żądania z obcej strony za pomocą jednorazowego znacznika sesji, bez którego serwer odrzuca zgłoszenie.

Pętla logowania, ciasteczka i przestawiony zegar

Klasyczna usterka wygląda tak: przycisk zostaje naciśnięty, strona przeładowuje się i wraca do formularza bez żadnego błędu. Najczęstsza przyczyna to zablokowane ciasteczka, bo sesja nie ma się na czym oprzeć; wystarczy tryb wzmocnionej ochrony prywatności albo rozszerzenie czyszczące dane witryn. Druga to nieaktualna zawartość pamięci podręcznej po zmianach na serwerze, usuwana odświeżeniem z pominięciem cache. Trzecia, zaskakująco częsta, to przestawiony zegar komputera: przy różnicy przekraczającej kilka minut przestają działać tokeny sesji i weryfikacja certyfikatu, a przeglądarka albo odrzuca połączenie, albo krąży w kółko po ekranie logowania. Rozładowana bateria podtrzymująca zegar na płycie głównej daje dokładnie ten objaw, resetując datę przy każdym uruchomieniu.

Gdy do komputera nie da się wejść w ogóle

Osobna kategoria zgłoszeń dotyczy logowania nie do serwisu, lecz do samego systemu: konto lokalne nie przyjmuje hasła, profil użytkownika wczytuje się jako tymczasowy i znikają wszystkie pliki na pulpicie albo ekran logowania wraca po każdej próbie. Odbudowujemy wtedy profile, naprawiamy uprawnienia do katalogu użytkownika i odzyskujemy dane z dysku, gdy system nie nadaje się już do uruchomienia. Diagnozę wykonujemy bezpłatnie przy odbiorze sprzętu, który przywozimy i odwozimy własnym transportem.