为什么网站注册一定要“确认密码”{Web}{用户体验}

[居振梁]

我们在注册一个网站或者在其他桌面应用、终端程序里注册一个帐号的时候，总是要输入两次密码，这里我们只讨论网站注册这个环境，因为其他情况如在自己电脑上新建一个Unix帐号改密码要找回来很麻烦，不是谁都知道怎么做的。

输入两次密码，现在没人不知道是“为了防止用户在不知道的情况下输错了”，从而多了一个改正的机会。但是这个策略一定有必要吗？
观点如下：
1.我就从来都是一次输入正确的，相信大部分常用网络的人也是；
2.即是输入错了，现在的“找回密码”功能也是很完善和普及的，操作也不麻烦（我是说现在注册一下都要邮件认证，找回密码再来一次修改密码的确认邮件也未尝不可）；
3.实际上，不常用网络的人比常用网络的人要多得多，而且那些人输错的可能性也很大，但是不得不考虑另外一个问题：为什么我们要注册帐号呢？因为我们需要那个网站提供的资源，但是我们并不想长期待在那里，或者大部分时候只是潜水，这时候注册显得很没必要，但有些管理员偏要注册才能看！以上可能性并不少见，于是乎，在此网站注册本身就可能让用户感觉不爽，很多人干脆就随便搞个密码，然后很快忘掉，而网络常客（可能还会有意识无意识的）去构思一个密码，以使其方便下次再有可能需要，当然这样构思的密码也不容易忘记，除非时间长了”构思算法“有所改变。

很明显，我不认为”确认密码“这个”悲观式策略"一定必要，甚至有点多余，麻烦了一大批人。
何不干脆就乐观点，假设大家都不会输错，（那万一输错了，可以参考上面2），这也不是很麻烦，况且忘记密码的也同样大有人在。
当然仅就注册一次要确认也并不是什么特别大的负担，但问题就出在（参考上面的3）。

接下来是我认为“不确认密码”的补偿策略：
1.我猜，不考虑这是一个惯例，而仅就客观上说，连续输入两次可能本身也有点暗示作用，告诉用户注意不要输错，那我们可以以醒目的文字提醒用户“本网站注册密码不需要确认”；
2.考虑到用户习惯，“确认密码”框仍然还在，但是可以留空，并且同样一醒目的文字提醒用户“你真的不确认密码”；
3.这个有一定的安全隐患，就是在激活邮件里以明文形式提醒用户你的输入的密码是这个，可能并非你自己所想，然后给个改密码的链接。

欢迎大家讨论。

--
http://wargrey.yo2.cn [黑客精神；团队精神；清心寡欲]
http://juzhenliang.spaces.live.com [自然语言试练场；BY-BLOG]

[SpitFire]

转ucdchina的文章

http://ucdchina.com/snap/4585

http://5key.net/blog/2008/10/13/good-register-flow/

http://ucdchina.com/snap/3256

目前ucd方面也在研究这个问题，不过将密码确认这个框去掉你可能也要加上一个email确认框

2009/9/28 居振梁 <juzhe...@gmail.com>

--
SpitFire

[SpitFire]

更多可以看这里

http://ucdchina.com/topic/28?p=0

2009/9/28 SpitFire <spit...@gmail.com>

--
SpitFire

[居振梁]

看来我的话题不用继续讨论了

不过能提升话题也不错。

谢谢SpitFire分享

[居振梁]

重点贴一下这个关于密码覆盖问题的文章：
http://www.dbanotes.net/web/stop_password_masking.html
也许对一些像我这样业余的网站建设者有好处，刚入此门的大学生也有事做了。
同样是“登录问题”，没有简单的需求，只是看不到深度。

2009/9/28 SpitFire <spit...@gmail.com>

更多可以看这里

http://ucdchina.com/topic/28?p=0

[四不象]

现在不是在推广OpenID嘛

我也觉得注册时候输入两次太麻烦，索性注册时候密码明文显示

[殷远超]

其实密码输错确实可以通过找回功能完成，而且密码遗忘也需要找回功能来处理。也就是说可以把这两个问题统一处理。那么剩下的问题就是：注册时有可能输错邮箱了。采用邮箱重复输入显然还不如重复密码。对于一些本身就要求激活的网站，采用注册时不设置密码，激活时设置可能是比较合适的。

      但是对于不需要激活的网站。允许两者都出错。只是注册完成显式要求登录一次（如果能登陆，至少说明邮箱和密码有一个是对的），如果一定时间没有完成首次登录，删除用户即可。

     如果注册之后不迫使用户显式登录，最多就是一次性用户多一点。其实我倒是很喜欢这种网站。

[居振梁]

对于很多网站，邮箱就是id，如果邮箱输错了，注意这里还只是注册，此网站肯定没有任何我的数据，那干脆重新注册一个就是了（此时上个表单的数据应该还留着，除非他们给你抹掉），而且，网站本来就应该自动清理那些从来不活动的人（尤其是指仅注册连激活都没有进行的用户）。

2009/9/28 殷远超 <yinyu...@gmail.com>

其实密码输错确实可以通过找回功能完成，而且密码遗忘也需要找回功能来处理。也就是说可以把这两个问题统一处理。那么剩下的问题就是：注册时有可能输错邮箱了。采用邮箱重复输入显然还不如重复密码。对于一些本身就要求激活的网站，采用注册时不设置密码，激活时设置可能是比较合适的。

      但是对于不需要激活的网站。允许两者都出错。只是注册完成显式要求登录一次（如果能登陆，至少说明邮箱和密码有一个是对的），如果一定时间没有完成首次登录，删除用户即可。

     如果注册之后不迫使用户显式登录，最多就是一次性用户多一点。其实我倒是很喜欢这种网站。

[居振梁]

OpenID这个东西还在试验阶段，基本上跟本贴讨论的主题交集很少啊。
总得有一个起点先获得一个可以作为OpenID的ID，比如google里就是gmail帐号。

2009/9/28 四不象 <tabris17.cn@gmail.com>

现在不是在推广OpenID嘛

我也觉得注册时候输入两次太麻烦，索性注册时候密码明文显示

[Cai Jimin]

估计很多网站都不会清理那些从来不活动的人， 这是它们宣传的工具， 你说有注册用户1000万，他说有2000万，哪舍得删啊 :)

2009/9/28 居振梁 <juzhe...@gmail.com>

[居振梁]

那就最好不过了，反正用户没啥问题，就专注自己的主号就是了，还少一点内疚。

2009/9/29 Cai Jimin <caij...@gmail.com>

估计很多网站都不会清理那些从来不活动的人， 这是它们宣传的工具， 你说有注册用户1000万，他说有2000万，哪舍得删啊 :)

[任龙飞]

貌似这个OpenIDhttp://openid.net.cn/比较好点，但支持的网站还是比较少

还有一个问题就是不只一个注册openid的网站，然后你用你的，我用我的，账号的申请有回到了原来的时候

比较支持梁兄的 gmail做openid

2009/9/28 居振梁 <juzhe...@gmail.com>

[fireflyman]

      清理應該有一個清晰的界定期,如果某用戶因為生病住院,而在一定時間內沒有登錄,而在他再次登陸后,發現賬戶被刪了.這也許會引發用戶對該網站反感.而用戶肯定會有一些朋友,只要湊夠六個人,他們就能讓全世界的人知道他們的感受,這也許對網站并沒有什么好處....

--
Sons of Gondor, of Rohan, my brothers!
I see in your eyes the same fear that would take the heart of me.
A day may come when the courage of men fails when we forsake our friends and break all bonds of fellowship.
But this is not this day.
And hour of wolves and shattered shields when the age of Men comes crashing down. But this is not this day!
This day we fight! By all that you hold dear on this good earth, I bid you stand! Men of the West!

[居振梁]

“用户体验”随着参与用户的增加本身就升级为社会性问题了。

如果清理用户本身可能影响由“访问量”带来的结果，那很多网站干脆就不清理了，这个固然方便。
我们这个问题的大前提是由注册引起的作为其副作用的“一次性用户”，对于这类用户可以放心的删掉；
如果有人根本不关心下次是否去访问，他可能很快就会忘记过曾在这里注册过，比如满世界找下载的那类人，所以删掉也无所谓；
对于正规会员，是不可以这样呢，允许网站内的任何人或自己来提交“保名申请”，考虑到隐私问题，可以不提供理由，这样即使是长期病假也都无所谓了，直到申请解除，或者100年后仍没有动静删除。

这个手续是有点复杂，但是理由充分的话，正规会员应该理解。

2009/9/29 fireflyman <yangxi...@gmail.com>

      清理應該有一個清晰的界定期,如果某用戶因為生病住院,而在一定時間內沒有登錄,而在他再次登陸后,發現賬戶被刪了.這也許會引發用戶對該網站反感.而用戶肯定會有一些朋友,只要湊夠六個人,他們就能讓全世界的人知道他們的感受,這也許對網站并沒有什么好處....

[fireflyman]

我想问个问题,假如用户用10minutemail来进行恶意注册,该怎么处理呢?

2009/9/29 居振梁 <juzhe...@gmail.com>

[居振梁]

“10分钟自毁邮箱”
通常，注册不会超过10min，如果该网站需要邮件激活，那其实跟上面讨论的问题相关不大。
如果不需要邮件激活，那这个问题与“其忘记密码的可能性有关”，之前我们也讨论过一个问题：靠谱的人一般不会用QQ邮箱，先不管这个是否一定是大靠谱众所望，其观点同样也会适用与此情况，而且效力更强。这就是说，使用10minutemail的用户，很大程度可以归结为“网站有完善的清理机制+用户原本就倾向于一次性注册”，此类用户如果真的忘记密码了，那也不是注册“确认密码”就能补救的，不过大多数非网络常客可能不知道自己邮箱的性质（校园内部邮箱，恰好无法收到激活邮件的邮箱，还有这里的一次性邮箱等），这可以转化为另一个问题，即：此类用户也可能根本就连自己的邮箱密码都忘记了，或者他的邮箱因为各种原因可能被彻底删掉了。而这些都不是“确认密码”就能补救的。

“恶意注册”，我不知道这个恶意的理由和目的是什么，但是这里仅仅只是去掉一个“确认密码”框，而不是去掉诸如验证码这里的机制，这就是说省略的那部分数据，在提交的表单里已经有了，恶意用户在提交的数据里多加一份“拷贝”似乎难度也不大。而如果他们就是想留下一些一次性用户在网站内，那这又是网站自己的"清理策略"的问题了，况且这不刚好让一些看中注册数的网站高兴么？

2009/9/29 fireflyman <yangxi...@gmail.com>

我想问个问题,假如用户用10minutemail来进行恶意注册,该怎么处理呢?

[居振梁]

结合在哲思和TPL的讨论，以及SpiteFire兄的分享，我对上次不成熟的想法重新做了整理，并且有所升华。
详细内容在
http://wargrey.yo2.cn/2009/10/13/37185/

2009/9/28 居振梁 <juzhe...@gmail.com>

[QingJi Chen]

现在很多网站都去掉了确认密码了

2009/10/14 居振梁 <juzhe...@gmail.com>:

--
Regards
Q.J.Chen

[zerof]

目前网站用户体验的瓶颈应该在如何保持用户，但确实有很多用户因为不注册看不了内容，就干脆不注册了不看了；所以注册的用户体验也是吸引用户的一个方面；
我总觉得一般用户对待密码和我们这些天天捣鼓电脑的人可能还不一样，举个可能不十分恰当的例子，你想下在银行里现在是怎么处理的？

至于明文显示肯定是让人没有安全感（也确实有安全隐患），先明文后星号是个不错的办法，这个很多手机上都有了吧，不止iphone，不知有无专利？

2009/10/14 居振梁 <juzhe...@gmail.com>

[四不象]

我不觉得明文显示有什么安全隐患，至少在注册的时候。担心边上有人看么？还是担心被监控设备拍下来？那就用星号，输入两次罢。如果有此担心，iPhone上那种密码输入一样不安全

----- Original Message -----

From: zerof

To: pon...@googlegroups.com

Sent: Wednesday, October 14, 2009 10:34 AM

Subject: [TL] Re: 为什么网站注册一定要“确认密码”{Web}{用户体验}

[居振梁]

我直接去银行柜台的时候不多，但是似乎大部分人都会遵守一些约定俗成的规则：当别人提供密码时自发的look the other way。
对于及个别的别有用心的人，应该是能一眼看出来的（如果你的资料真的达到那样的安全级别的话）

2009/10/14 四不象 <tabris17.cn@gmail.com>

我不觉得明文显示有什么安全隐患，至少在注册的时候。担心边上有人看么？还是担心被监控设备拍下来？那就用星号，输入两次罢。如果有此担心，iPhone上那种密码输入一样不安全

[zerof]

网吧人头攒动啊～城铁地铁人山人海啊（这样貌似不好掏出笔记本来？）～

明文变星号的方法，至少可以保证你输入最后几个字符的时候，别人瞟一眼也看不到全部密码，很简单的道理～

还是那句话，不要用玩了N年电脑和网络的经验，来推测大部分新网民和新新网民以及非CS非IT网民的心理承受能力，呵呵～

用户体验这东西和技术有关，但终归和人相关的更多些～

[Li Yang]

输入两遍密码有助于减少出错的可能吧，网络传输本来就是不靠谱的，尤其是像中国这种网络环境

2009/10/14 zerof <zero...@gmail.com>

--
While(!success=try())

[chen jianmin]

输入2次就2次喽，我觉的大家都已经适应了。

如果明文，那用户的体验反而差了，用户一下子怕起来了。

如果输入一次，那用户输入错了，还有想办法去找回

或者输入一次，你发用户一个验证邮件，那用户要走更大的冤枉路去确认邮件。

2次输入，省时省力，且对用户体验没太大伤害！

[殷远超]

openid并不是要大家到同一个地方申请啊，只要申请了之后能多处使用就行了

2009/9/29 任龙飞 <renlo...@gmail.com>

--
殷远超 http://www.yinux.com

[殷远超]

主要取决于用户输入错误的概率，反正我输错的几率在千分之一左右。

倒是一些网站，由于设定了一些较为严格的密码，导致我记不住。经常需要使用找回功能，或者重新注册一个。csdn就是一个。

2009/10/15 chen jianmin <nrb...@gmail.com>

[居振梁]

据不完全统计，需要重复输入密码的可能性是72%

2009/10/16 殷远超 <yinyu...@gmail.com>

主要取决于用户输入错误的概率，反正我输错的几率在千分之一左右。

倒是一些网站，由于设定了一些较为严格的密码，导致我记不住。经常需要使用找回功能，或者重新注册一个。csdn就是一个。

--
http://wargrey.yo2.cn [黑客精神；团队精神；清心寡欲；像孩子一样思考]
http://juzhenliang.spaces.live.com [自然语言试练场；BY-BLOG]

[四不象]

就是啊，最恶心的就是这种网站了，我密码的强度关它P事了，你善意提醒可以，干嘛非要强行限制。

2009/10/16 殷远超 <yinyu...@gmail.com>

--
水仙欲上鲤鱼去
一夜芙蓉红泪多

[z.s. jiang]

1:如果你是专业人士,或许对你有点多余

2:难道每个人专业人士吗?

3:每个人对指法都很熟悉吗?

4:每次输入的时候都能看清楚键盘吗?

5:每个键盘上的字符都很清晰吗?

6:每次使用电脑的时候都是在光线很好的地方吗?


说说我的个人情况

键盘指法不熟悉,键盘出现严重的磨损,如果在家上网,我不喜欢开灯


有时候可以考虑一下腾讯的用户群体是一个什么样的概念

别忽视了低端用户群体,别以为自己会敲敲代码就可以不屑一顾

中国从来不会拿知识当生产力

计算机刚入道的,工资都比不过一个服务员的,(个人原因,其他的原因都有)

IT民工,现在很流行

如果你是一个专业的程序,只是一个技术员而已,仅此.......

需要你的时候,留你,不需要你的时候,....XXX

[sunskyor sunskyor]

我只觉得验证码这种东西很不爽，确认密码大多数情况下还是有必要的吧。

你需要考虑这种情况，有时系统要求你必须输入一些复杂规则的密码，用户录信息打的太快就忘了第一次输的密码等等。

 

#或者提供一个闪电注册渠道，为你这种需求的用户提供另外一种注册接口？

 

看明白google注册或者各种论坛注册过程中五花八门，歪七扭八的验证码很容易恶心。恶意注册/登录这种东西

Server端用其它机制控制就好了，为啥非要费这劲？

2009/9/28 居振梁 <juzhe...@gmail.com>

我们在注册一个网站或者在其他桌面应用、终端程序里注册一个帐号的时候，总是要输入两次密码，这里我们只讨论网站注册这个环境，因为其他情况如在自己电脑上新建一个Unix帐号改密码要找回来很麻烦，不是谁都知道怎么做的。

输入两次密码，现在没人不知道是“为了防止用户在不知道的情况下输错了”，从而多了一个改正的机会。但是这个策略一定有必要吗？
观点如下：
1.我就从来都是一次输入正确的，相信大部分常用网络的人也是；
2.即是输入错了，现在的“找回密码”功能也是很完善和普及的，操作也不麻烦（我是说现在注册一下都要邮件认证，找回密码再来一次修改密码的确认邮件也未尝不可）；
3.实际上，不常用网络的人比常用网络的人要多得多，而且那些人输错的可能性也很大，但是不得不考虑另外一个问题：为什么我们要注册帐号呢？因为我们需要那个网站提供的资源，但是我们并不想长期待在那里，或者大部分时候只是潜水，这时候注册显得很没必要，但有些管理员偏要注册才能看！以上可能性并不少见，于是乎，在此网站注册本身就可能让用户感觉不爽，很多人干脆就随便搞个密码，然后很快忘掉，而网络常客（可能还会有意识无意识的）去构思一个密码，以使其方便下次再有可能需要，当然这样构思的密码也不容易忘记，除非时间长了”构思算法“有所改变。

很明显，我不认为”确认密码“这个”悲观式策略"一定必要，甚至有点多余，麻烦了一大批人。
何不干脆就乐观点，假设大家都不会输错，（那万一输错了，可以参考上面2），这也不是很麻烦，况且忘记密码的也同样大有人在。
当然仅就注册一次要确认也并不是什么特别大的负担，但问题就出在（参考上面的3）。

接下来是我认为“不确认密码”的补偿策略：
1.我猜，不考虑这是一个惯例，而仅就客观上说，连续输入两次可能本身也有点暗示作用，告诉用户注意不要输错，那我们可以以醒目的文字提醒用户“本网站注册密码不需要确认”；
2.考虑到用户习惯，“确认密码”框仍然还在，但是可以留空，并且同样一醒目的文字提醒用户“你真的不确认密码”；
3.这个有一定的安全隐患，就是在激活邮件里以明文形式提醒用户你的输入的密码是这个，可能并非你自己所想，然后给个改密码的链接。

欢迎大家讨论。

--
http://wargrey.yo2.cn [黑客精神；团队精神；清心寡欲]
http://juzhenliang.spaces.live.com [自然语言试练场；BY-BLOG]

[chen jianmin]

同意。

我非常想不通去掉确认密码等带来多大的方便。

更要命的是带来这种方便的同时，还要绕好大的弯子去弥补他。这不是自欺欺人吗！不过有几个朋友说的很好，比起密码确认而言少给密码一些限制反而才是实事！

2009/10/19 z.s. jiang <qingy...@gmail.com>