Klient nie może wkleić hasła. Sprawdź logowanie z menedżerem haseł
Próba logowania na koncie demonstracyjnym: autouzupełnianie, wklejenie, podgląd wpisu i reset. Bez zbierania prawdziwych haseł od klientów.
Klient ma długie, unikalne hasło zapisane w menedżerze. Na stronie sklepu przycisk wklejania nie działa, a automatyczne uzupełnienie trafia w niewłaściwe pole. Prośba o przepisanie wszystkiego ręcznie nie rozwiązuje źródła problemu. Sprawdź cały przebieg logowania na własnym koncie demonstracyjnym, z narzędziem używanym przez kupujących.
Co zaleca aktualny standard
NIST SP 800-63B-4, opublikowany w lipcu 2025 roku, wymaga w swoim zakresie dopuszczenia menedżerów haseł i automatycznego uzupełniania. Zaleca również umożliwienie wklejania, gdy nie można skorzystać z mechanizmu autouzupełniania, oraz zaoferowanie podglądu wpisanego hasła. NIST rozróżnia tu wymaganie od zalecenia.
Wytyczne dotyczą przede wszystkim cyfrowej tożsamości w amerykańskich systemach rządowych. Nie są polskim przepisem nakazującym każdemu sklepowi konkretny ekran. Dają jednak wiarygodny punkt odniesienia przy odbiorze logowania: blokowanie pomocnego sposobu wpisania hasła nie powinno być automatycznie uznawane za zaletę bezpieczeństwa.
Przygotuj próbę bez sekretów klientów
Załóż konto przeznaczone do kontroli sklepu. Użyj danych demonstracyjnych i osobnego hasła, którego nie stosujesz w innych usługach. Ustal, kto usuwa konto po zakończeniu. Nie proś klienta o przesłanie jego hasła ani o nagranie ekranu z otwartym sejfem menedżera. Do odtworzenia trudności wystarczą własne dane i opis środowiska.
Zapisz przeglądarkę, urządzenie, użyty menedżer oraz to, czy problem dotyczy logowania, rejestracji czy zmiany hasła. Wybierz konfiguracje rzeczywiście ważne dla sklepu. Jedna udana próba na komputerze autora strony nie dowodzi obsługi telefonu ani innej przeglądarki.
Sprawdź trzy sposoby wprowadzenia danych
Najpierw wpisz dane ręcznie i potwierdź, że konto działa. Następnie wyloguj się i użyj autouzupełniania. Sprawdź, czy nazwa użytkownika oraz hasło trafiają do odpowiednich miejsc i czy formularz pozwala przejść dalej. Nie odczytuj sekretu na głos i nie dopisuj go do karty testu.
Trzeci przebieg wykonaj przez wklejenie hasła. Oceń działanie menu kontekstowego i zwykłego skrótu klawiaturowego, jeżeli dane urządzenie go udostępnia. Jeżeli strona oferuje chwilowe pokazanie wpisu, sprawdź przełączenie widoczności w miejscu, gdzie nikt postronny nie ogląda ekranu. Sama obecność ikony oka nie potwierdza, że pokazuje aktualną wartość.
Jeżeli problem występuje wyłącznie po błędnej próbie, odtwórz go raz na koncie demonstracyjnym. Sprawdź, czy po komunikacie o błędzie formularz nadal rozpoznaje te same pola. Zapisz różnicę między pierwszym otwarciem a ponowieniem, zamiast ogólnego „czasem nie działa”.
Nie pomijaj zmiany hasła
Na tym samym koncie sprawdź przewidziany przez sklep sposób odzyskania dostępu. Korzystaj wyłącznie z kontrolowanej skrzynki testowej. Po zmianie zapisz nowe hasło w menedżerze i ponów logowanie. Celem jest sprawdzenie, czy człowiek potrafi zakończyć proces i wrócić do konta, a nie wielokrotne wywoływanie blokady bezpieczeństwa.
Jeżeli formularz nie współpracuje z narzędziem, przekaż wykonawcy dokładny etap i wynik, bez haseł, linków resetujących ani danych sesji. Oczekiwaniem może być na przykład poprawne rozpoznanie pól i działające wklejenie. Nie wyłączaj dodatkowego potwierdzenia logowania tylko po to, aby uzyskać szybszy test.
Po poprawce odtwórz nieudane wcześniej przebiegi. W odbiorze zachowaj środowiska i wyniki, a nie sekrety. Odrębnym scenariuszem w sklepie jest kontrola zakupu bez konta. Z kolei sprawdzanie stron podszywających się pod sklep przypomina, dlaczego przed wpisaniem danych trzeba również rozpoznać właściwy adres strony.