Антипаттерн входа по OpenID

Давно замечаю в использовании OpenID на разных сайтах одну и ту же особенность, которая меня, как пропагандиста технологии, сильно печалит. Написать об этом пост я все ленился, но недавнее замечание коллеги о том, не сделать ли у меня на форуме "нормальный вход", показало, что откладывать больше нельзя!

Прежде, чем перейти к сути, хочу задать вопрос: "в чем главная польза OpenID"? (Ждет 5 секунд.) Раз все молчат, я отвечу так, как хочется мне :-). У OpenID есть аж три важных преимущества по сравнению с традиционными логин-парольными системами:

• Пользователь избавлен от выдумывания очередного логина и пароля.
• Пользователь избавлен от необходимости вводить один и тот же пароль на туче сайтов, постоянно увеличивая вероятность его утечки.
• OpenID позволяет строить межсервисные пользовательские связи на основе общего универсального идентификатора пользователя.

Даже если отвлечься от третьего заоблачного пункта, на мой взгляд первых двух достаточно, чтобы считать, что OpenID гораздо лучше логин-парольной системы. Нам с вами — гикам, программистам, технарям — называйте как хотите, может не казаться проблемой придумывать уникальный логин, а также хранить зашифрованные пароли в специальной программе-менеджере. Но нормальных пользователей, у которых есть заботы сверх того, чтобы думать о том, как работают компьютерные системы, это серьезно напрягает. И пароли у них фишат очень успешно.

Все это потенциально способен решить OpenID. Или хотя бы начать движение в правильном направлении. Загвоздка в том, что для того, чтобы это сработало, OpenID во-первых должен быть везде (или по крайней мере, много где), а во-вторых, он должен быть дефолтным (или вообще единственным) вариантом входа.

Это важно.

А теперь давайте посмотрим на то, как выглядит вход по OpenID на многих и многих сайтах на примере из четырех, которые первыми пришли мне в голову:

http://news2.ru/:

http://dopplr.com/:

http://livejournal.com/

http://mirtesen.ru/:

Это иллюстрирует факт того, что к OpenID относятся как к альтернативному способу входа взамен нормальному по логину и паролю. Очевидно, при таком подходе ни один юзер, который изначально не знает, зачем ему все это надо, никогда этим не воспользуется.

Надо сказать, что для многих сайтов это вполне естественное положение вещей. Речь идет о тех сайтах, где уже давно есть логин-парольная регистрация, и новый способ входа для них действительно альтернативный. И поскольку они в любом случае должны поддерживать логины и пароли имеющихся пользователей, полностью переключиться на OpenID у них вряд ли получится.

Казалось бы, для новых сайтов такой проблемы стоять не должно. Однако они все равно продолжают запускаться с традиционными системами регистраций и про OpenID вспоминают разве что в духе "потом может быть добавим". Причиной тому является, во-первых, совершенно понятная инерция мышления. Просто все привыкли так делать, да и готовых решений с хранением базы логинов написано много, и программистам удобно ими пользоваться.

Но главное, существует крепко укоренившееся мнение о том, что OpenID — технология для гиков, и простой юзер этого не поймет. Так вот, уважаемые, вы путаете причину и следствие. Ну конечно ни один юзер не поймет это в таком виде, в котором ему это предлагается! Спрятанным за несколькими кликами, названным непонятным словом, и, главное, без объяснения того, какую проблему это все решает.

Взамен этого я хочу предложить один конкретный вариант того, как может выглядеть интерфейс вход по OpenID, предназначенный для людей.

В разных вариантах эта идея уже много где используется, но здесь важны детали:

• Вначале (картинка 1) пользователь видит интерфейс, где нет слова "OpenID". Оно никому ничего не говорит и только отпугивает.

• Формулировка "Войти как пользователь ... " кратко отражает суть процесса: человек входит на этот сайт, но использует для этого свою существующую регистрацию. Я не проводил реальных юзабилити-тестов (я сижу с ноутбуком дома в кресле воскресным вечером, какие тут тесты? :-) ), но чисто спекулятивно мне кажется, что это должно быть понятно тем людям, кто уже является пользователем какого-нибудь сервиса в интернете.

  Воспользовавшись таким входом большинство пользователей вообще не будут в курсе, что они воспользовались технологией OpenID. Это нормально. Так же, как то, что люди, пользуясь интернетом, не знают слова "TCP/IP".

• Также стоит заметить, что в интерфейсе нет поля ввода для собственно логина. Это дополнительное удобство, возможное потому, что яндексовый OpenID-сервер поддерживает фичу OpenID 2.0, когда авторизация начинается не с собственного URL'а юзера, а с URL'а провайдера (в данном случае http://yandex.ru/), а тот уже в ответе выдает собственный URL юзера, зная, как тот залогинился. А раз URL один на всех, то и вводить его не надо, можно просто в <input type="hidden"> прописать.

• В качестве элемента выбора используется стандартный <select> (хоть этого и не видно по макету), чтобы пользователь сразу понимал, что там можно выбрать что-то другое.

• Список провайдеров в выпадающем списке на картинке 2 не случайный. Нет, не потому что я работаю в Яндексе :-). Просто эти два провайдера действительно могут претендовать на роль самых массовых и узнаваемых в рунете, покрывая, наверное, процентов 90 с лишним пользователей (я не считал, это снова спекуляция). Еще бы там Mail.Ru не помешал, на мой взгляд, но у них, кажется, OpenID-сервера нет (могу ошибаться). И вот в комментариях мне подсказывают, что я еще тут Рамблер забыл.

  Кроме того, без ложной скромности хочу сказать, что формулировки и интерфейс логина на openid.yandex.ru одни из самых простых и понятных, что я видел. В частности, там не используется идиотская формулировка-калька с английского "Доверять этому сайту?" ничего не значащая для пользователя.

  Вообще же, содержимое этого списка должно зависеть от конкретной аудитории конкретного сайта. Например, на сайте, созданном для какого-нибудь ЖЖшного коммьюнити, ЖЖшный логин безусловно стоит вытащить наверх по умолчанию.

• Последним в списке идет упоминание "Любого OpenID". Это для тех, кто уже знает, что это такое, и узнаёт его именно по этому слову.

• При выборе провайдера, который не умеет определять логин пользователя, под <select>ом появляется поле, куда этот логин можно написать.

Что примечательно, эффективность такого подхода начинает получать реальные подтверждения. Зарубежные товарищи из Plaxo говорят о 92% успешных входов в систему с похожим интерфейсом. Там в качестве умолчального провайдера использовался Gmail.

Закончу традиционным для себя воззванием. Уважаемые создатели веб-сайтов! Вам не нужны логины и пароли ваших пользователей. Отказывайтесь от старых подходов, и хорошо будет и вам, и пользователям.