Comment réduire la friction UX dans le développement de produits sécurisés

Dans le développement de produits, l'apparence finit souvent par attirer toute l'attention. Une interface utilisateur agréable est importante, mais UX est ce qui fait ou défait votre produit.

En tant que chef de produit, je passe le plus clair de mon temps à réfléchir à la manière de réduire les frictions dans l'UX. J'entends par là soit réduire le nombre d'étapes qu'un utilisateur final doit suivre pour atteindre ses objectifs, soit réduire la complexité de ces étapes. Une application de commerce électronique qui vous oblige à passer par trois mesures de sécurité pour effectuer un achat ne fonctionnera pas aussi bien qu'une application qui n'en nécessite qu'une.

Cependant, une faible friction ne peut pas se faire au détriment de la sécurité pour les organisations qui conservent des données client sensibles, telles que les institutions financières et les compagnies d'assurance.

Étant donné que la facilité d'utilisation et la sécurité des données personnelles sont généralement incompatibles, trouver le bon équilibre peut s'avérer délicat. Voici comment procéder.

La bataille séculaire entre sécurité et commodité

Pendant des décennies après la naissance de la carte de crédit dans les années 1950, les émetteurs se méfiant de la fraude ont exigé que les commerçants les appellent chaque fois qu'une transaction dépassait la «limite plancher» - le montant maximum qu'un titulaire de carte pouvait facturer sans autorisation préalable. C'est beaucoup de friction pour un consommateur qui attend d'acheter une nouvelle voiture ou un nouveau réfrigérateur. Par conséquent, lorsqu'elles fixaient des limites planchers, les banques et les sociétés émettrices de cartes de crédit devaient peser leur appétit pour le risque par rapport à la tolérance de leurs consommateurs aux désagréments.

Un client avec une limite de crédit de 10 000 $ a probablement plus de valeur pour une banque - et des attentes plus élevées en matière de service - qu'un client avec une limite de 1 000 $. Vous pouvez décider d'augmenter la limite de plancher pour ce type de client afin de minimiser les frictions qu'ils subissent. Mais que se passe-t-il si ces comptes de plus grande valeur sont également les plus vulnérables à la fraude ? Vous pourriez finir par introduire un niveau de risque qui causerait plus de dommages à votre résultat net que la perte de certains de ces clients.

Avance rapide vers l'ère numérique et cette bascule de demandes concurrentes demeure, bien qu'avec des menaces qui évoluent rapidement et des consommateurs moins patients. Il n'y a pas de formule exacte pour concilier ces exigences, de sorte que les chefs de produit travaillant sur des logiciels et des applications doivent constamment calibrer leur UX pour maintenir l'équilibre entre friction et sécurité.

Moins de fraude ne signifie pas toujours plus de profit

Dans la plupart des logiciels et applications sécurisés, il existe deux groupes de clients que les chefs de produit doivent servir :

1. L'organisation qui donne la priorité à la protection la plus élevée possible.
2. L'utilisateur final qui souhaite une UX de produit transparente.

Une banque, par exemple, préférerait une protection à 100 % contre la fraude pour de nombreuses raisons, notamment :

• Satisfaction du client.
• Réduction des pertes dues à la fraude.
• Réputation de la marque.
• Minimisation des cyberattaques.

D'autre part, l'utilisateur final a des exigences concurrentes : il souhaite un accès facile et rapide à son compte. Cela ne se produira pas si l'UX de la banque est conçue pour une protection à 100 % contre la fraude.

Au lieu de cela, l'utilisateur final rencontrera des frictions élevées à chaque fois qu'il utilisera l'application. Par exemple, après avoir saisi un mot de passe, l'utilisateur peut avoir besoin de saisir un code d'authentification à deux facteurs envoyé sur son téléphone, suivi d'un scan biométrique ou d'un challenge CAPTCHA. Le décalage qui en résulte pourrait amener certains utilisateurs à réduire leur utilisation de l'application ou, pire, à chercher une nouvelle banque. Dans ce scénario, la banque aura économisé de l'argent sur les pertes dues à la fraude, mais aura perdu de l'argent sur sa clientèle en diminution.

Pour compliquer les choses, différents utilisateurs finaux peuvent avoir des seuils différents quant au degré de friction qu'ils tolèrent avant de rechercher un autre fournisseur de services.

Verrouillez les objectifs, les coûts et la tolérance au risque du client

Maintenant que nous avons établi qu'essayer de fournir une protection à 100 % contre la fraude n'a pas de sens commercial, nous devons déterminer ce qui fonctionne. Commençons par les ressources de la banque : l'argent et les gens.

Tout d'abord, identifiez le taux de fraude actuel de la banque et le montant des pertes qu'elle peut absorber. Comparez également les économies nettes qu'elle espère réaliser avec ce nouveau produit avec le coût de son développement et de sa maintenance. (Vous constaterez peut-être que la protection contre la fraude coûte plus cher que la fraude elle-même.)

Ensuite, déterminez combien de cas suspects et de « faux positifs » le personnel de la banque peut traiter par jour. Les faux positifs se produisent lorsque la banque supprime ou restreint le compte d'un utilisateur en raison d'une erreur de calcul du risque. Ces faux positifs augmentent les frictions pour l'utilisateur, drainent le temps des employés de la banque et peuvent finalement nuire à la réputation de la marque.

Vous pouvez commencer à évaluer votre produit une fois que vous avez défini ce que la banque peut se permettre de dépenser ou de perdre en argent et en main-d'œuvre. Grâce à ces informations, vous pouvez déterminer les points de données à collecter auprès des utilisateurs finaux pour calculer leur score de risque de fraude en temps réel.

Identifier les données à collecter auprès des utilisateurs finaux

Les logiciels et applications sécurisés vérifient :

• Qui tu es. Ce sont vos comportements, qui incluent des éléments tels que vos emplacements de connexion ou les mouvements de la souris.
• Ce que tu as. Ce sont les appareils qui vous sont enregistrés ou que vous utilisez régulièrement.
• Ce que tu sais. Cela inclut les mots de passe, les questions de sécurité, les anniversaires et autres informations personnelles.

Une fois que le logiciel collecte ces informations, les modèles d'apprentissage automatique utilisent les entrées de chaque catégorie pour attribuer à l'utilisateur un profil de risque de fraude. Sur la base de ce profil, une organisation peut décider d'autoriser l'accès, de refuser l'accès, de demander une authentification supplémentaire, de restreindre les fonctionnalités ou toute combinaison de ces options.

En tant que chef de produit, il est tentant de collecter autant d'informations que possible. Cependant, ce n'est pas toujours la meilleure pratique. En effet, plus vous collectez d'informations auprès de chaque utilisateur, plus il faut de temps et de ressources pour calculer le score de risque sur le back-end. Ceci, à son tour, augmente le temps de latence pour l'utilisateur, c'est-à-dire plus de friction.

Au lieu de cela, commencez par les indicateurs qui semblent être les signifiants les plus simples de l'identité d'un utilisateur, tels que l'emplacement, les appareils connus et les mots de passe. Ensuite, réfléchissez aux façons dont un acteur malveillant pourrait contourner ces indicateurs. Des criminels sophistiqués pourraient usurper l'emplacement et l'appareil d'un utilisateur, et pourraient avoir accès à des mots de passe compromis par des fuites de données ou des attaques de logiciels malveillants. Pour combler ces lacunes, vous pouvez également analyser les mouvements de la souris ou vérifier si l'utilisateur a effectué des achats similaires dans le passé.

Avant d'ajouter un nouvel indicateur, évaluez son impact sur la prévention de la fraude par rapport aux coûts initiaux de son ajout au produit. Vous devez également prendre en compte les coûts de main-d'œuvre et financiers récurrents qui accompagnent les calculs supplémentaires et le stockage des données.

N'oubliez pas que trouver le bon ensemble d'indicateurs est un exercice d'essais et d'erreurs. La seule façon de vraiment déterminer l'avantage de chaque indicateur est d'ajouter et de soustraire chacun d'eux, en surveillant l'impact de chaque combinaison sur votre taux de fraude et l'expérience utilisateur pour le client et les utilisateurs finaux.

Intégrez vos clients pour vérifier vos indicateurs

Bien que le client puisse donner la priorité à la réduction de la fraude, la convivialité pour ses propres employés (tels que les analystes de la fraude) est également importante en arrière-plan. Il est donc sage de s'assurer que les points de données que vous prévoyez de collecter les aideront et non les entraveront.

Un cadre de réflexion sur la conception est une approche utile pour les produits qui servent deux ensembles d'utilisateurs. Il est centré sur l'humain plutôt que sur les problèmes et demande aux concepteurs de sympathiser avec les utilisateurs afin qu'ils puissent imaginer leurs besoins futurs. Le design thinking peut aider les chefs de produit à développer un produit dynamique qui sert des intérêts concurrents, dans ce cas, la sécurité et la commodité.

Investir dans l'étape de l'empathie signifie poser des questions et s'intégrer dans le flux de travail quotidien de votre client. Cela vous permet de vous engager avec les appels d'offres pour prévoir les changements du marché et voir comment les données du client s'alignent sur leur paysage de menaces en temps réel. Une fois que vous avez compris ces défis stratégiques et tactiques, vous pouvez commencer le développement.

Prévoyez de passer le plus de temps possible avec votre client pendant les phases de développement et de test. Alors que les commentaires vous donneront une idée de la liste de souhaits du client, l'observation vous aide à identifier les erreurs de communication, les lacunes dans les connaissances et les défauts de conception qui n'apparaîtront pas dans l'auto-déclaration.

L'observation est assez simple si vous êtes un chef de produit interne partageant un espace de bureau avec des analystes de la fraude. Si vous êtes un consultant ou un travailleur hors site, vous devrez organiser des visites sur site aussi souvent que possible. Si le voyage n'est pas une option, les sessions virtuelles avec partage d'écran en valent la peine.

Vérifiez chaque semaine avec les analystes de la fraude une fois que votre produit est opérationnel pour vous assurer que la conception UX leur sert, en particulier lorsque vous lancez de nouvelles fonctionnalités : pourquoi effectuent-ils des tâches dans un certain ordre ? Que se passe-t-il lorsqu'ils cliquent sur un bouton particulier ? Comment réagissent-ils lorsqu'ils reçoivent une notification ? Quels changements remarquent-ils dans leur travail quotidien ?

Collectez vos données

La technologie de collecte de données permet aux organisations d'exploiter des centaines de points de données pour vérifier l'identité d'un utilisateur. Il aide également les sites et applications de commerce électronique à adapter l'expérience d'un utilisateur à son profil démographique. Un utilisateur qui correspond à un certain profil peut même obtenir des offres personnalisées ou déclencher une assistance automatisée.

Alors, comment cela fonctionne-t-il dans les applications de sécurité ?

• Navigateurs Web : chaque fois qu'un utilisateur accède à un site protégé dans un navigateur, des "collecteurs" JavaScript intégrés collectent des informations d'identification. Cela peut inclure des points de données tels que l'emplacement, les détails de l'appareil et les mouvements de la souris.
• Applications natives : les applications natives sont conçues pour une plate-forme d'appareil spécifique, telle qu'iOS ou Android. Lors de l'accès à un service à partir d'un appareil mobile, ces applications utilisent des kits de développement logiciel (SDK) pour collecter des informations d'identification, qui peuvent inclure des tapotements et des glissements de doigt au lieu de mouvements de souris.

Vos modèles d'apprentissage automatique attribueront ensuite un score de risque de fraude basé sur le modèle global que ces points de données forment. Si le score de risque est supérieur à la moyenne, il est logique d'introduire plus de friction sous la forme d'une authentification à deux facteurs ou de questions de sécurité. Cependant, si un trop grand nombre de vos utilisateurs déclenchent des étapes de vérification supplémentaires, il est peut-être temps de reconsidérer votre seuil de risque ou votre stratégie de collecte de données.

Continuez à réduire la friction de l'utilisateur final

Une fois que votre produit est en cours d'exécution, suivez les plaintes des utilisateurs finaux enregistrées auprès des centres d'appels ou via les magasins d'applications pour découvrir les points faibles et les suggestions d'amélioration. Même les meilleurs tests de pré-lancement ne détectent pas tous les points de friction, et les nouveaux systèmes d'exploitation et versions d'appareils peuvent entraîner des complications inattendues qui ralentissent les utilisateurs finaux.

Pour les entreprises fondées sur le commerce électronique, les coûts de ces ralentissements sont évidents. En 2022, le Baymard Institute estimait que 17 % des abandons de panier évitables étaient dus à un processus de paiement trop long ou compliqué ; 18% supplémentaires des répondants ont blâmé un manque de confiance dans la sécurité de leurs informations de carte de crédit. Baymard estime que la lenteur du paiement et le manque de confiance dans la sécurité du site font partie d'un ensemble de facteurs qui ont contribué à 260 milliards de dollars de ventes perdues aux États-Unis et dans l'UE. Cela représente une opportunité incroyable pour les chefs de produit e-commerce de repenser leurs solutions de point de vente. Mais quel que soit votre secteur d'activité, réduire les frictions des utilisateurs et garantir la confiance dans la protection de vos données doit être une pratique continue qui peut générer des clients plus satisfaits et des innovations commerciales majeures.

Voici deux exemples de réduction de friction réussie dans le développement de produits sécurisés :

3DS

À la fin des années 1990, Visa et Mastercard se sont associés pour créer le protocole de sécurité des paiements sécurisés 3D (3DS). Sorti en 2001, le protocole original exigeait que tous les utilisateurs enregistrent leurs cartes auprès de 3DS et se connectent à chaque caisse avec un mot de passe 3DS dédié. Si un utilisateur ne se souvenait pas de son mot de passe 3DS, il devait le récupérer ou le réinitialiser avant de finaliser son achat. Dans une version ultérieure, les émetteurs de cartes avaient la possibilité de remplacer le mot de passe statique souvent oublié par un mot de passe dynamique à usage unique (OTP). Cependant, l'étape de connexion supplémentaire a continué d'entraver le processus de paiement.

Les développeurs 3DS ont pris note de cette friction persistante et, en 2016, ont publié 3DS 2.0, qui comprend un composant SDK qui permet aux applications d'intégrer l'élément 3DS dans leur code. 3DS 2.0 est mieux adapté aux transactions mobiles et analyse plus de points de données pour produire une évaluation des risques plus précise. En conséquence, seul un petit pourcentage d'utilisateurs de 3DS 2.0 doivent effectuer une étape d'authentification supplémentaire, souvent sous la forme d'un OTP.

Uber

3DS 2.0 est un exemple de réduction de la friction du produit par itération. Mais vous pouvez également réduire les frictions au niveau de l'industrie en introduisant des produits perturbateurs.

Le modèle commercial d'Uber repose sur la soustraction de la friction d'un trajet en taxi traditionnel. Avec Uber, plus besoin d'attendre en attente avec un service de taxi ou de fouiller dans votre portefeuille à la fin de votre voyage.

Un processus de paiement transparent était la clé du succès initial de l'entreprise, mais il comportait certains risques. Chaque fois qu'Uber traite automatiquement une transaction sur une carte de crédit stockée dans son application, il risque une rétrofacturation (dans laquelle un titulaire de carte conteste une transaction et reçoit un remboursement).

Cependant, Uber a calculé que le coût de ces rétrofacturations potentielles valait la peine d'optimiser l'expérience utilisateur. Si un utilisateur devait déterrer une carte de crédit ou entrer un mot de passe chaque fois qu'il appelait pour un trajet, toute l'entreprise aurait pu échouer. Au lieu de cela, Uber a accepté le risque plutôt que la friction et le service a décollé.

Dans ces deux exemples, une approche de gestion de produit centrée sur l'utilisateur qui a également pesé la sécurité et le risque a abouti à des innovations révolutionnaires et rentables.

Le meilleur entretien est une bonne attaque

Les fraudeurs veulent garder une longueur d'avance sur les équipes produit. Alors que d'autres types de développement peuvent réagir à l'évolution des exigences, les projets de logiciels sécurisés doivent les anticiper. Cela signifie que les chefs de produit doivent lire la documentation de l'industrie et exploiter les données de plusieurs clients pour tirer des leçons des failles de sécurité passées et des détournements réussis.

Votre équipe produit doit fournir des rapports réguliers sur le paysage des menaces et les croiser avec les expériences et les exigences de votre client. Toutes les nouvelles menaces ne justifient pas une mise à jour du produit. Votre équipe a peut-être identifié un nouveau type d'attaque contre lequel votre UX ne protège pas, mais une discussion avec votre client révèle qu'il n'est pas pertinent pour son environnement de menace : un client bancaire en Afrique du Sud peut être confronté à une vague de Fraude par échange de carte SIM, tandis qu'un autre à New York pourrait subir davantage d'attaques de pirates utilisant des VPN. Dans la plupart des cas, il ne serait pas rentable - et introduirait des frictions UX inutiles - de protéger les deux banques contre les deux types de fraude.

En tant que chef de produit, votre rôle nécessite d'ajuster constamment les fonctionnalités pour vous assurer que vous n'échangez pas la sécurité contre une expérience utilisateur agréable ou vice versa. Et bien que vous ayez besoin de beaucoup de données pour vraiment comprendre les besoins de vos clients et utilisateurs finaux, le reste de cet exercice d'équilibre est un mélange d'essais, d'erreurs et d'art.