私が Web で目にするほとんどの例では、次の順序でユーザー アカウントを作成しています。ユーザーはサイトにアクセスし、ユーザー名とパスワードを選択して、電子メールを入力します。このメールに確認メールが送信され、リンクをクリックすると、アカウントが「確認済み」になります。確認しないと、しばらくするとアカウントが削除されます。
私は別の方法について教えてもらいました: ユーザーに最初に電子メールを確認してもらい、電子メールの確認リンクをクリックすると、ユーザー名とパスワードの作成を開始できます。
セキュリティ上の問題であろうとなかろうと、2 番目の方法に問題があると考えている人はいますか? それは一般的ではなく、個人的には完全に明らかな問題を見つけることはできませんが、多くの人が問題や抜け穴を見ないことを確認してから使用したいと思います.
個人的には、ユーザーに迷惑をかける可能性のある問題があります。
ほとんどの人がWebサイトに登録するとき、彼らはかなりの数の質問に答え、FAQと利用規約を読んでから、プロファイルのいくつかの予備的な側面を設定するためにもう少し時間を費やす必要があると予想します。
従来のフローでは、ユーザーはそのプロセスを実行する時間を選択できます。その後、ユーザーは確認リンクのみを受け取ります。これは通常、使用する3秒のプロセスであり、事実上いつでも実行できます。
提案されたフローにより、サイトの潜在的なユーザーはドキュメントを読むのに時間を費やし、メッセージを受信するまで待ってから、場合によっては数日後にフォームに入力する時間を見つける必要があります。私は、少なくとも少し厄介であることに気付くでしょう-完全に落胆していなくても-特にメールが到着するのに甘い時間がかかる場合は、そうなることがよくあります。
私はまた、そのようなスキームの固有の意味が好きではありません：
従来のフロー：「わかりました。フォームに入力してください。適切な確認を送信するためのアドレスを指定してください」。ここでのユーザーは、本質的に行われた取引が完了するのを待っているだけです。
メールファーストフロー：「おお、あなたです。しばらくお待ちください。必要に応じて招待状をお送りします」。一方、ここでは、ユーザーはメッセージを受信するまで、潜在意識の不確実性に悩まされています。
最初のアプローチは、はるかにオープンでユーザーにとって使いやすいものだと思います。これは、これらのケースの現在の標準フローでもあり、それ自体で使用するのに十分なインセンティブになるはずです。他に方法がない限り、ユーザーに慣れていないプロセスを強制することは避けてください。
サイトにアクセスするための招待リンクが記載されたメールを友人から受け取ることはエキサイティングです-それは排他的で新しくて楽しいと感じます。私は何かを与えられているので、喜んでサインアップします。
サイトの使用を開始するために電子メールアドレスを入力する必要があることは、厳しく、制限的で煩わしいと感じます。私は最初のステップとして何かをあきらめるように求められており、それからおそらく（多分？）将来的に価値のあるものを手に入れるでしょう。
論理的ではありません。どちらの場合も、アカウントを作成する前に、私のメールアドレスを確認する必要があります。実際、最初のケースでは、友人が私が要求したことのないオファーで積極的にスパムを送信する必要があります。
私がこのStackOverflowアカウントを最初に作成した理由を知っていますか？答えを投稿したいときは、ログインページのGoogleロゴをクリックして、すぐにサイトの使用を開始できたからです。ユーザー名、パスワード、名、姓、生年月日、その他のBSはありません
Experts Exchangeアカウントを作成しなかった理由を知っていますか？初めて回答にアクセスしようとしたため、クレジットカード番号、請求先住所、電話番号の入力を求められました。サイトが提供するものを試してみる前に、私は何かをあきらめなければなりませんでした。
重要なのはこれです：参入障壁はあなたのサイトをひどくします。アカウントの作成は、可能な限りシームレスで簡単なものにする必要があります。電子メールの確認が完了するまで他の機能へのアクセスが制限されている場合でも、単一ページのサインアップフォームとCAPTCHAに入力した直後にサイトにアクセスできるのは素晴らしいことです。より多くの機能のロックを解除する場合は、私の生年月日とお気に入りの色を教えてくれるかもしれません。
個人的には問題はないと思いますが、それは選択の問題です。重要なのは、ユーザーがしなければならないことを明確にすることだと思います。
1）メールアドレスを入力します2）確認メールを待ってから手順3に進みます3）アカウントにサインアップします。
ユーザーが必要な残りの情報を入力する前に単一の情報（ユーザーの電子メールアドレス）を入力するだけでよい場合、ユーザーが保持しているデータの量と費やした時間を削除する可能性があります。
個人的には、ユーザーが混乱しないように標準を維持します。作業量は同じです-ユーザー名/パスワード/メールアドレスを取得します-ユーザーがリンクをクリックするのを待ってから、サイトにログインします。
では、電子メールで送信されるリンクの使用を何回許可しますか?
ユーザー名を選択する前にブラウザを閉じた場合、ユーザーは一度だけでもアカウントを作成できません。
複数回の場合、多くの人が同じリンクを使用してアカウントを作成できます。このリンクを公開し、パスワード回復機能を使用すると、巧妙なフィッシングの手口になる可能性があります。
また、データベースでこの電子メールを確認して一度だけ許可すると、ユーザーは正当なアカウントを 2 つ作成できなくなります。
この方法は少し単純であることがわかりました。ユーザーが電子メールの検証リンクをクリックすると、事前に生成された非表示の ID 番号が挿入されたフォームに送信され、後でユーザー名とパスワードが割り当てられます。id だけでその他の情報がない空白のアカウントは、定期的に除外するのが簡単で、アカウントが正常に作成されるまで詳細を保存することはありません。
ただし、ほとんどのサイトが電子メールの前にユーザー名とパスワードを収集するのにはおそらく理由があります。より個人的な情報を要求する前に、ユーザーに投資してもらうためです。アカウントが作成されました。あとは、メールを確認するだけです。逆に、最初に電子メール アドレスを要求し、次にアカウントを要求します。機能的には同じですが、知覚的には異なります。また、標準的な「フロー」の利点は、ユーザーが何を期待すべきかを知っていることです。規則に従うことで、ユーザーは何が起こっているのかを知っているように感じ、混乱したり興味を失ったりすることがなくなります。
2番目のアプローチについていくつかの考えを共有したいと思います。
まず、招待システムと非常に似ていますが、同じではありません。
1 つの電子メール アドレスに対して複数の登録要求を送信できるようにする必要があります。そうしないと、潜在的なユーザーが誤って削除してしまう可能性があり、手順を繰り返す方法がありません。一部の怒っている男がこれをスパム ツールとして使用することを許可する場合 (1 つの (場合によってはそれ以上の) 電子メール アドレスにできるだけ多くのメールを送信します。会社/サイトが 10,000 の登録要求を受け取った人をどのように探すか想像してみてください。 ..
標準的な方法には重大な利点が 1 つあります。それは、電子メールを確認せずにユーザー名を予約できることです (ユーザーは登録したいと思うかもしれませんが、電子メール サーバー/アカウントへのアクセスを望まないか、アクセスできません)。
サーバーが電子メールの送信をかなり長い間遅らせる可能性があることを考慮する必要があります。考えられる理由: メモリ不足、DoS 攻撃、電子メール サーバーの障害など。メール ファーストのアプローチを選択し、ユーザーが 5 分以内にそのメールを受信しない場合 (何らかの理由で)、4 人中 3 人の潜在的なユーザーがあなたの会社/サイトをコースします。決して登録を完了しないでください。
細かいところまでよく考えられているので、スタンダードなやり方と呼ばれるのには理由があります。
結局のところ、ユーザーにとっての利便性です。メールをチェックする唯一の理由がアカウントを確認することである場合、不便に思えるかもしれません。代わりに、システムにパスワードを生成させ、それを電子メールで送信し、電子メールを確認してパスワードを取得するように指示します。必要に応じて、ログイン後にパスワードを変更できるようにすることができます。この方法は、「強力な」パスワードが最初に存在することを確認するのにも役立ちます.
2番目のオプションをお勧めします。ユーザーがメール内のリンクをクリックして自分自身を確認できるようにします。次に、好みのユーザー名とパスワードを選択できます。ユーザー名がサイト内で一意であることを願っています。
一部のユーザーが電子メールのリンクを長い間確認するのを忘れて、ユーザー名がロックされている状況で役立ちます。他のユーザーはそれらのユーザー名を選択できません (そのレコードが後で削除されるまで)。また、これにより、スパマーが自分のユーザー名を選択して、他のユーザーが使用できるようにロックすることを根絶できます。
したがって、2番目のオプションを使用することをお勧めします。ユーザーがユーザー名を選択して他のユーザーが使用できるようにロックする前に、まず自分の電子メールと自分の存在をユーザーに確認させます。
ここに、このアプローチに関する私の懸念があります。
メールの配信は保証されておらず、遅くなる可能性があります。ユーザーがすぐに電子メールを受信しない場合、登録プロセスを完了できない可能性があります。電子メール アドレスを間違って入力したり、電子メールがスパムとしてマークされたりした場合はどうなりますか?
どちらのアプローチも問題ありませんが、アカウントの作成を延期する場合は、必要なすべての詳細 (有効期限、ユーザー名、パスワード、電子メール アドレス) を URL に埋め込んでから、それらをすべて暗号化して防止する必要があります。改ざん - かなり大きくなります。
実際には、ユーザーが自分のユーザー名を選択できるようにすることはできませんでした。ユーザー名が以前に要求され、検証されていないかどうかを確認する方法がないためです。また、ユーザー名を公開する場合は、電子メール アドレスを公開することになります...あまり良い考えではありませんか?
実際にそうしているサイトもあります。
この最小限の登録プロセスは、実際に必要になる前に多くのフォームに入力してデータを提供することを気にしたくない潜在的な顧客の損失を回避するのに役立ちます.