Vraag:
Een tijdje geleden vertelde een webmaster mij dat ze een soort van community op wilde richten voor hun leden. Die zouden dan via de website toegang krijgen tot extra content en de mogelijkheid om te reageren onder pagina’s en berichten.
Om gebruik te kunnen maken van deze functionaliteiten moeten de leden inloggen. Maar dit werd eigenlijk meteen al als een drempel gezien. Je heb dan weer een gebruikersnaam en wachtwoord nodig.
Kan dit niet gemakkelijker werd mij gevraagd?
Antwoord:
Ik heb toen voorgesteld om te werken met eenmalige links om in te loggen. Dit is niet nieuw want onder andere WordPress.com en Slack gebruiken dit ook.
De leden gaan naar de website en klikken op inloggen. Op het inlogformulier vullen ze alleen een gebruikersnaam of e-mailadres in. Vervolgens krijgen ze een e-mail met een unieke link. Zodra ze hierop klikken gaan ze naar de website en zijn ze ingelogd.
Deze functionaliteit wordt standaard niet door WordPress ondersteund maar kan je gemakkelijk toevoegen door de gratis plugin “Magic Login – Passwordless Authentication for WordPress” te installeren.
Je kan deze functionaliteit ook heel gemakkelijk toevoegen aan de voorkant van de website door gebruik te maken van de shortcode. Met CSS kan je het formulier vervolgens opmaken zodat het precies past binnen de huisstijl. Op deze manier kunnen de leden gemakkelijk in loggen zonder gebruikersnaam en wachtwoord.
In de betaalde versie van deze plugin zit:
- Brute force protection om een overvloed aan pogingen door o.a. bots tegen te gaan
- Functionaliteit om het aantal keren dat de login link aangevraagd wordt te beperken
- IP verificatie zodat het IP dat de link aanvraagt ook via dit IP in moet loggen
- Functionaliteit die controleert of de domeinnaam op de witte lijst staat
- De mogelijkheid om de het e-mailbericht + onderwerp dat verstuurd wordt te wijzigen
- Gebruikers doorsturen naar een specifiek ingestelde URL
De betaalde versie kost 49 dollar per jaar wat een prima prijs is voor de extra functionaliteit die je krijgt.
Is inloggen via een eenmalige link wel veilig?
Sommige zeggen van wel en andere zeggen van niet. Grote bedrijven gebruiken deze techniek ook.
Natuurlijk ben je afhankelijk van de veiligheid van de mailbox van de gebruiker. Als daar een simpel wachtwoord op zit dan kan een hacker daar heel gemakkelijk op inbreken. Maar dit is niet de verantwoordelijkheid van de website die de login link functionaliteit aanbiedt.
Een uniek en veilig wachtwoord op ieder account is tegenwoordig een minimale eis. Lastig om deze allemaal te onthouden? Gebruik dan een wachtwoord manager zoals Bitwarden, LastPass of Apple iCloud-sleutelhanger.