Friendly o Seguro

Desde hace un tiempo vengo estudiando la mejores prácticas de ux para iniciar sesión en una aplicación. Durante este estudio he llegado a ciertas conclusiones que al discutirlas con otros colegas terminamos en discusiones bastante interesantes. Todo se trata acerca de una buena práctica de usabilidad para darle feedback a los usuarios cuando introducen datos erróneos en el formulario de login.

Los expertos recomiendan que es necesario indicarle al usuario con exactitud cuál dato colocaron erróneamente, pero esa no es la opinión de todos pues otros entienden que al indicar cual dato es incorrecto estaríamos dejando expuesto el dato que sí es correcto y eso generaría problemas de seguridad en caso de que una cuenta esté siendo hackeada.

Según los buenos diseñadores de experiencia incluir un mensaje diciendo ”Correo o contraseña incorrecta” o cualquier otro mensaje de este tipo no le está dando a los usuarios la información necesaria para iniciar sesión correctamente.

Mientras que si por el contrario se le indica a los usuarios en qué están fallando se les pudiera estar ahorrando un tiempo de probar varias combinaciones de username y password para poder ingresar.

Algunas aplicaciones tienen su propio método para validar el acceso correcto de los usuarios tal como el caso de google donde primero validan que el usuario existe y despues le permiten al usuario ingresar su contraseña. También está el caso más común que es indicarle al usuario con un mensaje corto y el cambio de color del campo donde está fallando exactamente.

Desde mi punto de vista como diseñadora, estoy de acuerdo con dar a los usuarios los mensajes lo más claro posible y evitar el mal rato de no poder ingresar a su cuenta y en mi humilde opinión esto no es un patron de diseño que afecte la seguridad pues ese mismo patrón se utiliza cuando el usuario intenta crear una cuenta con un correo o username que ya existe en la base de datos en ese momento es necesario darle al usuario una explicacion de porque no puede utilizar esas credenciales para crear su cuenta.

Teniendo claro que el proceso de hackear una cuenta no se hace de forma manual y que requerirá de varios intentos hasta dar con la combinación correcta, lo adecuado es bloquear la cuenta temporalmente o enviar un correo en caso de que se esté ingresando desde una computadora que no es la habitual.

Es probable que existan razones mas serias por la que muchos entienden que esto afecte la seguridad pero siguendo el patron de los lideres de la industria esto no parece representar problema alguno y por el contrario se encuentra entre la lista de las buenas practicas que todos deberiamos aplicar.