Friction nécessaire : la théâtralité de la sécurité UX

Les concepteurs UX s'efforcent généralement de rendre les produits plus faciles à utiliser, mais il existe des circonstances dans lesquelles l'ajout de friction améliore la sécurité du produit. Par exemple, l'authentification à deux facteurs ralentit la connexion mais peut réduire le vol d'identité. Il existe également des occasions où la mise en œuvre de la friction permet simplement aux utilisateurs de se sentir en sécurité : les barres de progression animées ne protègent pas les données personnelles, mais peuvent répondre aux attentes d'un utilisateur concernant le degré de puissance de traitement plus élevé requis dans un environnement sécurisé.

En tant que responsable de la conception de produits pour Freja, une société de sécurité numérique sous contrat avec le gouvernement suédois, je recherche régulièrement des moyens d'harmoniser la convivialité avec la sécurité des utilisateurs. Parfois, cela signifie incorporer des fonctionnalités que les utilisateurs perçoivent comme sécurisées. Par exemple, la plupart des produits numériques peuvent calculer instantanément des données complexes, mais les recherches montrent que les temps de chargement artificiels donnent aux utilisateurs le sentiment qu'un système avancé travaille dur pour eux. D'un autre côté, si les concepteurs dépendent trop de fonctionnalités qui ne semblent que renforcer la sécurité (appelées théâtre de sécurité), ils peuvent amener les utilisateurs à croire que leurs informations sont plus sûres qu'elles ne le sont.

Fonctionnalités qui améliorent la sécurité UX

La vérification d'identité est un aspect crucial de la sécurité UX. Malheureusement, les noms d'utilisateur et les mots de passe ne sont pas des mesures d'authentification fiables : en 2021, 85 % des attaques de phishing ciblaient les informations d'identification des utilisateurs. Pour lutter contre cela, les concepteurs mettent en œuvre des fonctionnalités de sécurité qui augmentent le temps nécessaire aux utilisateurs pour créer et se connecter à un compte. Par exemple, l'authentification multifacteur (MFA) nécessite plusieurs formes d'identification lors de la création du compte ou de la connexion. La plupart des produits qui utilisent MFA exigent que les utilisateurs fournissent deux des trois informations d'identification :

• Une pièce d'identité, comme un passeport ou un permis de conduire, ou un moyen de paiement, comme une carte de crédit
• Des informations uniques, comme un mot de passe ou un code PIN
• Données biométriques, comme un visage, une empreinte digitale ou un scan de la rétine

Une façon de rationaliser la MFA tout en assurant la sécurité des utilisateurs consiste à exiger un selfie de document dans lequel un utilisateur prend une photo ou une vidéo tout en tenant une pièce d'identité officielle à côté de son visage. Une fois le selfie téléchargé, les entreprises demandent à un employé d'examiner le visage et l'identité de l'utilisateur pour une correspondance ou utilisent des algorithmes informatiques pour déterminer l'authenticité.

La reconnaissance faciale devient rapidement une fonctionnalité de sécurité populaire lors de la connexion et au-delà. Par exemple, certaines applications bancaires utilisent la reconnaissance faciale pour vérifier l'identité d'un utilisateur lorsqu'il souhaite accéder aux détails du compte, signer des documents électroniques ou transférer des fonds. Et bien que de nombreuses personnes utilisent uniquement la reconnaissance faciale pour déverrouiller rapidement leur smartphone, je recommande de mettre en œuvre la technologie dans le cadre d'une stratégie MFA pour une sécurité accrue.

Un moyen simple de vérifier l'identité d'un utilisateur consiste à le déconnecter automatiquement à des intervalles prédéterminés allant d'une demi-heure à quelques jours. Bien que certains puissent trouver cette méthode ennuyeuse, elle peut protéger les utilisateurs qui laissent un ordinateur portable sans surveillance, perdent un smartphone ou oublient de se déconnecter d'un ordinateur public.

Il y aura également des moments où les utilisateurs devront vérifier qu'ils sont le propriétaire légitime de documents numériques, tels que des billets d'événement et des ordonnances. J'ai aidé Freja à concevoir un produit qui associe de manière sécurisée l'identité numérique d'un utilisateur (vérifiée dans notre application) à son passeport vaccinal COVID-19. Cela rendait le passeport beaucoup plus difficile à falsifier que la version papier ou la version numérique préexistante disponible dans de nombreux pays. En Suède et au Danemark, par exemple, les passeports vaccinaux numériques ne sont pas connectés à d'autres formes d'identification et sont généralement accessibles via un code QR.

Malgré les progrès de la vérification numérique, certaines entreprises, dont certaines banques, exigent toujours que les utilisateurs se rendent dans un lieu physique pour prouver leur identité, notamment lors d'une demande de prêt. Dans de tels cas, les membres du personnel examinent attentivement l'apparence de l'usager et s'assurent qu'elle correspond aux photos sur ses pièces d'identité. Certains considèrent ce théâtre de sécurité et soutiennent qu'un employé pourrait accomplir cette tâche sans la présence de l'utilisateur. Mais les visites en personne peuvent être une amélioration de la sécurité car elles protègent contre les falsifications de photos et de vidéos connues sous le nom de deepfakes, qui deviennent de plus en plus difficiles à distinguer des images authentiques. De plus, une enquête de l'AARP Research a révélé que 83 % des adultes de 50 ans et plus ne sont pas convaincus que leur activité et leurs informations en ligne sont privées. Offrir à ces utilisateurs la possibilité de faire examiner leurs documents en personne peut établir une confiance et une fidélité durables envers le produit.

De nombreux produits numériques stockent également les adresses, les coordonnées, les méthodes de paiement et même les antécédents médicaux des utilisateurs. Compte tenu des enjeux, vous pouvez penser que la mise en œuvre de plus de mesures de sécurité conduira à un produit plus sécurisé, mais cela pourrait facilement créer une expérience utilisateur frustrante. Le contexte est crucial. Par exemple, si vous concevez une application de crypto-trading, vous pouvez autoriser les utilisateurs à afficher les prix et les tendances des jetons sans se connecter, car ces informations sont faciles à trouver sur Google. Mais lorsque les utilisateurs décident d'acheter ou de vendre des jetons, vous leur demanderez de se connecter à l'aide de MFA. Différentes actions nécessitent différents niveaux de sécurité.

Théâtre de sécurité qui permet aux utilisateurs de se sentir en sécurité

Dans certains cas, les concepteurs s'appuient sur le théâtre de sécurité pour ajouter de la friction et donner aux utilisateurs une plus grande tranquillité d'esprit. Cette pratique peut être bénéfique, voire nécessaire, tant qu'elle ne se substitue pas aux fonctionnalités UX qui protègent véritablement les utilisateurs.

Certaines entreprises rallongent inutilement les procédures pour se sentir en sécurité. ImpôtRapide ralentit le traitement des informations personnelles et financières lorsqu'un utilisateur dépose ses impôts. Des barres de progression animées associées à du texte à l'écran garantissent aux utilisateurs que le programme examine chaque détail pour s'assurer que tous les allégements fiscaux possibles sont appliqués. Mais ImpôtRapide a déjà vérifié ces données à chaque étape.

Les chercheurs qui ont étudié le code source du site Web ImpôtRapide ont constaté que les indicateurs de progression sont prédéfinis. Une fois que les animations commencent à jouer, elles cessent de communiquer avec les serveurs du site. De plus, les indicateurs de progression sont les mêmes pour tous les utilisateurs et durent toujours la même durée. Le retard, les graphiques et les messages sont des méthodes théâtrales destinées à accroître la confiance des utilisateurs dans le fait qu'ils obtiennent la plus grande déclaration de revenus possible, ce qui est acceptable puisque TurboTax utilise également le cryptage des données et l'authentification multifactorielle.

D'autres entreprises ajoutent des retards similaires dans une gamme d'interactions. Wells Fargo a ralenti les scanners rétiniens sur son application car les utilisateurs n'étaient pas sûrs qu'ils fonctionnaient lorsqu'ils fonctionnaient à pleine vitesse. Les contrôles de sécurité des comptes de Facebook prennent en fait quelques millisecondes à traiter, mais ils obligent les utilisateurs à attendre jusqu'à 10 secondes. Les applications hypothécaires soutenues par les prêteurs, dont une conçue par Google Ventures, ont ralenti leurs processus d'approbation de prêt et ajouté de fausses barres de progression pour les vérifications de crédit, car les utilisateurs ne faisaient pas confiance à l'approbation instantanée.

Avec l'application Freja eID, nous demandons aux utilisateurs de tenir leur téléphone devant leur passeport à puce pendant trois secondes pour télécharger les informations via la communication en champ proche (NFC). En fait, le téléchargement prend moins d'une seconde, mais demander aux utilisateurs de garder leur téléphone stable plus longtemps leur donne l'impression que le processus est sécurisé. Nous avons également introduit de la friction dans le selfie du document : une image statique était tout ce dont nous avions besoin, mais les utilisateurs n'étaient pas convaincus que c'était sûr, nous avons donc ajouté l'étape consistant à leur faire tourner la tête à gauche et à droite.

Toutes ces entreprises, y compris Freja, ont constaté que le théâtre de sécurité, soutenu par une sécurité réelle, a accru la confiance des utilisateurs. Lorsque vous travaillez sur des projets de sécurité UX pour vos clients, n'oubliez pas que de nombreux modèles mentaux d'utilisateurs n'ont pas encore rattrapé le rythme rapide de la technologie moderne. Ralentir les choses peut aider les utilisateurs à se sentir sûrs qu'un produit est sécurisé.

UX et friction : une relation symbiotique

La sécurité UX est un spectre, et les utilisateurs ont des attentes spécifiques quant à ce à quoi la sécurité devrait ressembler : l'envoi d'un message sur les réseaux sociaux doit être rapide et simple. Transférer 10 000 $ sur le compte bancaire de quelqu'un d'autre ne devrait pas.

Dans la conception d'interactions, le flux est souvent prioritaire dans le but d'aider les utilisateurs à atteindre leurs objectifs le plus rapidement possible, mais ne négligez pas l'importance d'une friction réfléchie qui renforce la confiance et protège les informations précieuses des utilisateurs.

Lectures complémentaires sur le blog Toptal :

• Safe by Design : un aperçu de la sécurité UX
• Comment concevoir pour une confiance maximale dans le produit
• Tri des cartes : une meilleure architecture de l'information en s'alignant sur les modèles mentaux des utilisateurs