Web Sitesi Güvenliğinin Kullanıcıya Görünen Yüzü
Bir sitenin güvenli olması ile kullanıcıya güvenli görünmesi aynı şey değil. Adres çubuğundaki kilit yıllarca güven işareti sayıldı, bugün ücretsiz sertifikayla açılmış bir oltalama sayfasında da aynı kilit duruyor. Geriye tek soru kalıyor: kullanıcı neye bakarak karar veriyor ve baktığı şeyin arkasında doğrulanabilir bir dayanak var mı?
Kilit ne söyler, ne söylemez
HTTPS artık bir üstünlük değil, zemin. Bir alan adının ücretsiz ve dakikalar içinde alınabilen doğrulama sertifikası (DV) yalnızca şunu kanıtlar: sertifikayı isteyen kişi o alan adının kontrolüne sahiptir. Şirketin gerçek olduğunu, ödemeyi teslim edeceğini, verinizi satmayacağını kanıtlamaz. Oltalama sitelerinin büyük kısmının bugün HTTPS üzerinden yayınlanmasının sebebi de bu.
Yine de teknik tarafta ihmal edilmesi kullanıcıya doğrudan yansıyan birkaç nokta var. HTTP üzerinden gelen istek tek seferde HTTPS'e yönlendirilmeli, sayfa içinde şifresiz kaynak kalmamalı, oturum çerezleri Secure ve HttpOnly işaretlenmeli. Bunlar görünmez işler, ama eksikliği tarayıcı uyarısı olarak kullanıcının önüne düşüyor ve o uyarıyı gören kişi formu doldurmuyor.
Damganın doğrulanabilir olması
Güven damgalarının çoğu bir görselden ibaret. Görsel kopyalanabilir; sahte siteler tam olarak bunu yapıyor. Gerçek damgayı ayıran şey tıklanabilir olması ve sizi kendi sitenizdeki bir sayfaya değil, damgayı veren kurumun alan adındaki doğrulama kaydına götürmesi. Bu ayrımı yapmayan bir rozet, kullanıcı için süsten fazlası değil.
Her güven damgası için ayrı bir açıklama sayfası yazmam. O sayfaya kimse girmiyor, girse de sertifikanın nasıl çalıştığını okumak istemiyor. Kullanıcının merak ettiği şey teknik mekanizma değil, kendi sorusunun cevabı: kartım saklanacak mı, bu bilgiyi kim görecek, vazgeçersem ne oluyor.
Kaygının olduğu yere yazın
Güvence metnini gizlilik politikasına gömmek, kimsenin okumadığı bir yere koymak demektir. Kullanıcının tereddüt ettiği an bellidir ve arayüzde tek bir noktada toplanır: kart numarasının, kimlik bilgisinin ya da telefon numarasının istendiği alan. Cümle oraya, alanın hemen altına gider ve tek bir soruyu cevaplar.
Aynı hassasiyet hata mesajlarında da gerekiyor. Giriş formunda "böyle bir kullanıcı yok" ile "parola hatalı" mesajlarını ayırmak kullanıcıya yardımcı gibi görünür, pratikte sisteme kayıtlı e-posta adreslerini tek tek sorgulanabilir hale getirir. İkisi için de aynı mesajı vermek doğru davranış, ve bu kararı tasarım tarafında verirsiniz, güvenlik ekibi gelip söylemez.
Şeffaflık iddiasının koddaki karşılığı
Gizlilik metinlerinde en sık geçen cümle verilerin şifrelendiğidir. Kullanıcı bunu doğrulayamaz, ama dolaylı işaretleri görebilir. Parola alanına 16 karakterden uzun bir şey yazdırmayan ya da noktalama işaretlerini reddeden bir site, parolayı sabit uzunlukta bir sütunda tuttuğunu ele veriyor olabilir. Parolamı unuttum akışında mevcut parolanızı e-postayla geri gönderen bir sistemde ise tartışılacak bir şey kalmaz: parola düz metin duruyordur.
Bu yüzden "güvenliğimizi anlatan bir sayfa hazırlayalım" isteği geldiğinde önce iddiaların gerçekten karşılığı olup olmadığına bakmak gerekiyor. Sayfada yazan her cümlenin arkasında bir uygulama kararı var, ve kullanıcı o kararı test edebiliyor. Karşılığı olmayan bir güvenlik anlatısı, hiç anlatmamaktan daha pahalıya mal olur.
Pratikte ne yapılır
- Sertifika yenilemesini otomatiğe bağlayın; süresi dolmuş sertifika, hiç sertifika olmamasından daha kötü bir izlenim bırakıyor.
- Rozetleri yalnızca doğrulama bağlantısıyla birlikte gösterin, tıklanmayanı kaldırın.
- Güvence cümlesini ilgili form alanının yanına taşıyın.
- İletişim kanalını gizlemeyin; şüpheye düşen kullanıcının ulaşabildiği bir insan, her rozetten daha ikna edici.
Kaynaklar