Tengo una aplicación que tiene un tipo de usuario que "regresa según sea necesario" en el transcurso de 22 días para completar los elementos de acción. La aplicación maneja información sensible / confidencial, pero > El 90% de los usuarios no utilizan el sistema después de 60 días. Menos del 1% después de un año.
Estoy tratando de identificar una oportunidad para que completar los elementos de acción bajo demanda sea lo más rápido y fácil posible. Para facilitar el inicio de sesión, cuando se crean nuevos elementos de acción, queremos incluir un enlace con un token en el correo electrónico que caduca cuando:
- Ha pasado una semana
- El usuario ha iniciado sesión correctamente
Después de hacer clic en el enlace, el usuario es redirigido a una página donde se solicita información de verificación (no una contraseña). Deben proporcionar uno de los siguientes :
- Últimos 4 de SSN
- Zip y DOB
Si fallan tres intentos, su cuenta está bloqueada y solo se puede acceder utilizando la contraseña proporcionada al registrarse o completando un restablecimiento de contraseña. Si el usuario intenta acceder a la aplicación con un token caducado, o visitando el sitio web directamente en lugar de hacerlo desde un correo electrónico, se requieren tanto el nombre de usuario como la contraseña.
Los usuarios tienen la capacidad de habilitar SMS 2FA después de la creación de la cuenta en cualquier momento.
Mis principales preocupaciones son:
- ¿Es una semana una duración demasiado larga para este token? Incluso con verificación secundaria requerida.
- ¿Está bloqueando una cuenta después de 3 intentos de token demasiado indulgente?
- ¿Hay estándares más fáciles de usar que podrían acelerar el inicio de sesión sin comprometer la seguridad?