Dlaczego podczas przypominania hasła jest ono wysyłane klientowi na e-mail?

W związku z pytaniami jakie przesłali nasi klienci o to czy obecnie dostępny jeden ze sposobów przypominania hasła klientom sklepów internetowych w IdoSell otwartym tekstem jest właściwy – przygotowaliśmy stosownie obszerną odpowiedź. Jest to odpowiedź dlaczego nie zdecydowaliśmy się na bezpowrotne tracenie haseł klientów poprzez ich „haszowanie”. Podstawowym powodem dla którego nie zdecydowaliśmy się na takie rozwiązanie jest to, że rozwiązanie wybrane przez nas zwyczajnie się opłaca sklepom internetowym, zwłaszcza tym większym. Z tego również powodu, staraliśmy się możliwie długo nie zdradzać tych powodów.

Wykonując naszą codzienną pracę stajemy przed tysiącami decyzji technologicznych. Podczas ich podejmowania nie tylko zdajemy się na nasze 12-letnie doświadczenie, ale i na analizę zachowań klientów i ich klientów. Jedną z takich obserwacji jest to, że typowo zorganizowane przypominanie, wcześniej „zahaszowanego” hasła bazuje na wysłaniu e-maila z linkiem, po kliknięciu na który użytkownik musi wpisać nowe hasło. Jak wskazują nasze doświadczenia, przeprowadzone już kilka lat temu, przy tak zorganizowanym procesie, zwyczajnie wygodniejsze jest założenie przez klienta nowego konta. A tym ruchem, świadomie lub nie, niweczone są wszelkie starania np. w kierunku nagradzania później klienta nagrodami, rabatami, punktami czy nawet utrudniają analizę sprzedaży towarów, czy zaawansowane techniki marketingu jak systemy rekomendacji czy targetowany e-mail marketing. Te i inne rozwiązania zaszyte są w IdoSell. Jeżeli zatem mielibyśmy stawiać na zakładanie przez klienta za każdym razem nowego konta, po co mielibyśmy te systemy budować?

A zatem haszowanie haseł klientów w sklepie internetowym, w naszej ocenie jest złym pomysłem i stosowanie takiego rozwiązania skutecznie zmniejsza obroty na powracających klientach. O ile? Zapraszamy do zapoznania się z ostatnio udostępnionym raportem Adobe Digital Index „Zwrot z inwestycji w marketing adresowany do dotychczasowych klientów internetowych” dostępny na http://www.adobedms.pl/e-commerce/ Raport ten jest niespotykaną perełką i donosiliśmy naszym klientom o nim już parę tygdoni temu, gdyż bazuje na analizie ponad 33 miliardów odwiedzin w sklepach internetowych. Raport ten wskazuje, że zamiana klienta z powracającego na wielokrotnego potrafi zwiększyć dochody sklepu internetowego od 3 do 7 razy (strona 5 raportu). A zatem utrudnianie klientowi zostania wielokrotnym klientem grozi poważnymi stratami dla klientów internetowych.

Warto zatem zastanowić się, czy haszowanie hasła niesie za sobą jakieś korzyści dla klienta w dziedzinie bezpieczeństwa? W naszej ocenie tak, pod warunkiem, że hasło jest potrzebne do wykonania czegoś ważnego i klient jest zmuszony do użycia ponownie tego samego konta. Gdybyśmy zmuszali klientów do odzyskiwania haseł, obsługiwane przez nas sklepy internetowe traciłyby jeszcze więcej pieniędzy. Co ciekawe, niektóre platformy sklepowe tak robią. To samo dotyczy linków „szybko logujących”. Jeżeli hasło lub link prowadzi do panelu administracyjnego sklepu lub np. do konta serwisu aukcyjnego w którym nawet dla żartu osoba, która przejmie hasło kliknie „Kup teraz” będzie to miało poważne konsekwencje. W przypadku sklepu internetowego takich konsekwencji nie ma, ponieważ:

1. W IdoSell jest jedynie informacja o płatnościach, ale płatności dokonywane są w innych serwisach (np. bankach czy na stronach operatorów płatności kartami).
2. Konto klienta w najlepszym razie pozwala na podejrzenie statusu płatności i zawartości zamówienia. Aby opłacić zamówienie, za każdym razem trzeba od nowa zalogować się np. do swojego banku internetowego (bez udziału IdoSell) i opłacić zamówienie.
3. Przypomnienie hasła znajdzie się w tej samej skrzynce e-mailowej klienta na której znajdują się prawnie wymagane do wysłania potwierdzenia sprzedaży, zawierające również listę towarów i cen po jakich zostały zakupione. A więc w przypadku gdy włamywacz przejmie kontrolę nad skrzynką klienta, logując się do sklepu nie uzyska informacji, których by już nie posiadał w momencie włamania na skrzynkę e-mailową.
4. Linki „szybkologujące” umożliwiają szybszy dostęp do zamówienia i jego sprawdzenia. Dzięki temu klient może raz jeszcze wszystko sprawdzić. Przygotowywany od wielu lat projekt nowej ustawy o świadczeniu usług drogą elektroniczną zakłada nawet obowiązek takiego podglądu. Jeżeli klient nie sprawdzi zmienionego zamówienia i nastąpi jakiś błąd w interpretacji jego oczekiwań, sklep ryzykuje kosztowną procedurę zwrotu, a ustawodawca wręcz szykuje obowiązek ustawowy zwracania kosztów za odesłanie towaru.
5. Haszowanie hasła zapobiega jego podejrzeniu w przypadku ataku SQL Injection. Jednak w tym przypadku ważniejsza jest polityka proaktywna bezpieczeństwa, która uniemożliwia taki atak. Ukrycie hasła w przypadku podejrzenia przez atakującego zawartości bazy danych może być realizowane przez szyfrowanie hasła. W tym przypadku osiąga się taki sam poziom bezpieczeństwa, gdyż do odszyfrowania hasła atakujący musi posiadać również i klucz. To oznacza już konieczność dostępu do kodu źródłowego aplikacji. Jeżeli atakujący posiądzie dostęp do kodu źródłowego i bazy danych, to lepiej aby właściciel sklepu internetowego miał za zmartwienie tylko hasła klientów sklepu internetowego. W tym bowiem scenariuszu może stać się wszystko...
6. Za istotne można było by uznać konto, które pozwala do logowania się w wielu sklepach internetowych. W IdoSell jednak każdy sklep internetowy ma własną bazę klientów z niezależnymi loginami i hasłami.

Analizując chociażby powyższe powody, łatwo stwierdzić, że decyzja o „niehaszowaniu” haseł jest świadoma. Zawsze dobieramy scenariusze ściśle do konkretnego rozwiązania. Dla przykładu hasła do paneli administracyjnych dla operatorów sklepu internetowego są haszowane i wręcz nie ma możliwości ich samodzielnego odzyskania czy nawet wygenerowania nowego hasła. Z tego powodu nie zalecamy w żaden sposób ich przesyłania. Nie istnieje nawet sposób na odzyskanie utraconego hasła. Musi być ono nadane na nowo przez innego użytkownika z uprawnieniami administratora lub przez administratorów IdoSell. Panel administracyjny jest bowiem kluczowy i stosujemy adekwatne do potrzebnego stopnia bezpieczeństwa zabezpieczenia.

Oczywiście, jako specjaliści od IT jesteśmy świadomi tego, że wymyślanie w każdym serwisie od nowa loginu i hasła, jest uciążliwe i może prowadzić do stosowania jednego hasła wszędzie. Właśnie z myślą o takich klientach jako pierwsza platforma sklepowa uruchomiliśmy możliwość logowania się kontem zaufanej trzeciej strony tj. np. Facebook, Google, PayPal, OpenID. Taki sposób logowania pozwala na wygodę i brak konieczności podawania hasła przez użytkownika sklepowi. Każdy sklep internetowy IdoSell powinien taki mechanizm uruchomić do czego od wielu miesięcy wszystkich klientów namawiamy. W przypadku zastosowania takiego logowania, sklep nadaje klientowi login i hasło automatycznie i losowo informując klienta e-mailem o nadanym loginie i haśle. Z punktu widzenia atakującego podejrzenie takiego hasła nie stanowi żadnej wartości (jest ono losowe). Login i hasło są również losowo nadawane podczas normalnej rejestracji w sklepie, jeżeli tylko klient nie wypełni pola login lub hasło.

Mamy nadzieję, że powyższe argumenty są dla Państwa wystarczającym potwierdzeniem, że IdoSell to partner wiarygodny, który doskonale orientuje się nie tylko w kwestiach technologii, bezpieczeństwa. Przede wszystkim mamy nadzieję, że powyższe argumenty przekonują Państwa do tego, że ludzie od technologii mają swoje racje, ale najważniejszy w tym całym procesie jest Państwa klient. To on bowiem płaci za zamówienie.

Na dowód tego, że póki co wybrane przez nas rozwiązania są skuteczne, warto podać, że obsługujemy już prawie 2000 sklepów internetowych w Polsce, które generują łącznie ponad 350 tys. zamówień miesięcznie osiągając łączną sprzedaż ponad 80 mln złotych miesięcznie (daje to ponad 1 miliard złotych rocznie). Warto przy tym podkreślić dynamikę przyrostu obrotów, która wynosi 150% za ostatni rok, podczas gdy średnia rynkowa była prawie 5 razy niższa (oficjalnie 33,5%). Nie było by to możliwe, gdyby nie właściwie zbudowana ścieżka zakupowa.

Wszyscy klienci, zainteresowani uruchomieniem logowania przez Facebook, Google, PayPal, zmodyfikowaniem standardowych szablonów e-maili aby nie wysyłały szybkologujących linków lub haseł w e-mailach proszone są o kontakt z supportem lub opiekunem Państwa sklepu.