Qu'est-ce qui empêche votre application de permettre une connexion simultanée sur plusieurs appareils

En 2023, la collaboration entre appareils est devenue une nécessité pour la plupart des gens. Sous la direction d'Apple, divers fabricants de terminaux construisent leurs propres écosystèmes multi-appareils, y compris, mais sans s'y limiter, la diffusion d'écran, le partage de presse-papiers, le partage de données entre appareils, etc. au sein du même écosystème.

État actuel#

Même dans cette tendance inévitable, de nombreuses entreprises de logiciels n'ont pas suivi la collaboration multi-appareils. Au niveau le plus élémentaire, de nombreuses applications ne soutiennent pas l'option pour le même compte de se connecter sur plusieurs appareils. Lorsque nous parlons de connexion multi-appareils ou de connexion simultanée, nous nous référons à la connexion au même compte sur plusieurs appareils simultanément, où les états de connexion entre différents appareils ne s'affectent pas mutuellement et ont des accès indépendants et complets.

Pour ces applications qui ne soutiennent pas la connexion simultanée, l'approche normale est de déconnecter automatiquement le compte sur le premier appareil au moment où la connexion sur le deuxième appareil réussit, sans donner aucun avertissement pour informer l'utilisateur.

Utiliser une connexion automatique pour plus de commodité peut sembler bénéfique pour les utilisateurs, mais cela peut causer des problèmes pour une utilisation future. Par exemple, si vous avez été automatiquement déconnecté d'un appareil et que vous devez l'utiliser à nouveau peu de temps après, vous devrez peut-être passer par des étapes de sécurité supplémentaires comme entrer des codes de vérification SMS ou faire une reconnaissance faciale. Ces étapes supplémentaires peuvent entraîner plus d'inconvénients, comme avoir besoin d'un éclairage ou de poses spécifiques pour la reconnaissance faciale, et présentent également certains risques.

Vous vous demandez peut-être, quelle serait alors l'approche préférable ? La meilleure approche est d'informer les utilisateurs qu'ils ne peuvent se connecter qu'à un appareil à la fois. En cas de conflit, c'est à l'utilisateur de décider quel appareil supprimer ou s'il faut annuler la tentative de connexion sur le nouvel appareil. Ainsi, les utilisateurs ont plus de contrôle sur la situation.

Défis et solutions potentielles#

Nous avons analysé les applications qui ne soutiennent actuellement pas la connexion simultanée et avons trouvé certains problèmes potentiels auxquels elles sont confrontées, nous essayons de poster ces problèmes et de donner nos propres solutions possibles.

Exigences de conformité#

Dans certains pays et régions, les applications de certaines catégories (telles que la messagerie instantanée et les médias sociaux) nécessitent une inscription sous le vrai nom pour respecter les exigences de conformité.

Comment les applications répondent-elles aux exigences de conformité ?#

En réponse à de telles exigences, différentes applications ont adopté différentes stratégies :

• exiger une inscription sous le vrai nom
• permettre l'inscription mais n'accorder l'accès à certaines fonctionnalités qu'après la vérification du vrai nom
• réaliser indirectement les exigences du vrai nom par des moyens comme l'exigence de lier des cartes bancaires pour les applications de paiement

En raison de l'existence de ces exigences, les solutions adoptées par les différentes applications varient. Une chose qui peut être confirmée est que — aucune application n'empêchera un utilisateur de créer plusieurs comptes sur leur plateforme. Autrement dit, elles n'imposent pas de restrictions techniques à l'utilisation de plusieurs comptes sur différents appareils, même si les comptes ont le même propriétaire.

Réflexions & solution possible#

Si l'intention originale des régulations était de tracer l'utilisation d'un compte et les appareils à travers un ID de compte unique, les protocoles d'autorisation actuels et la technologie peuvent toujours détecter quel appareil spécifique a initié une activité même lorsqu'un seul compte est connecté à plusieurs appareils.

Permettre la connexion sur plusieurs appareils ne préclut pas nécessairement la traçabilité réglementaire. Avec des mises en œuvre techniques appropriées, les activités du compte provenant de chaque appareil peuvent toujours être distinguées et suivies. Par conséquent, les régulations peuvent être respectées sans imposer de restrictions d'appareil unique aux utilisateurs.

Considérations sur la croissance de l'entreprise#

Nous pensons que cette question ne devrait pas être discutée longuement - chaque entreprise a ses raisons pour prendre des décisions commerciales.

Un cas réel dont nous avons entendu parler#

Cependant, comme nous le savons, certaines entreprises ont encouragé les utilisateurs à créer plusieurs comptes comme stratégie de croissance au début. Plus tard, ces entreprises sont entrées dans une nouvelle phase où, pour des raisons techniques et commerciales, elles avaient besoin de consolider les données entre les multiples comptes d'un utilisateur, ce qui a nécessité à leurs équipes de passer des années à essayer de bien faire la consolidation des comptes.

Que ferions-nous si c'était nous ?#

Bien que faire créer plusieurs comptes aux utilisateurs semble bon pour la croissance à court terme, à long terme, il devient difficile pour les utilisateurs de gérer les données entre les comptes, et les entreprises ont du mal à extraire des informations précieuses de nombreux "comptes zombies" inactifs. Cela nuit à l'expérience utilisateur et augmente les coûts d'exploitation.

Encourager plusieurs comptes par utilisateur peut temporairement gonfler les mesures de croissance, mais cela crée une dette technique et nuit à l'expérience utilisateur sur le long terme.

Raisons de sécurité#

Les préoccupations en matière de sécurité sont peut-être la raison la plus convaincante pour les éditeurs d'applications pour justifier aux utilisateurs pourquoi la connexion simultanée sur plusieurs appareils n'est pas soutenue.

Beaucoup de gens accepteront peut-être cette explication sans autre reflexion, mais nous avons essayé de trouver les vraies raisons.

Mesures de sécurité en place#

Prenons en considération les applications bancaires, qui ont des exigences de sécurité strictes. Lorsque vous ouvrez une telle application, la première étape est de se connecter. De nombreuses applications bancaires offrent la commodité d'utiliser Face ID ou l'empreinte digitale pour déverrouiller et accéder à l'application. Cependant, pour des opérations plus sensibles comme de grosses transactions financières, des étapes de vérification supplémentaires sont nécessaires pour garantir la sécurité. Ces étapes impliquent souvent diverses formes d'authentification à plusieurs facteurs (MFA) et des services de vérification d'identité en ligne officiels fournis par des tiers de confiance, souvent des agences gouvernementales.

Il est important de noter que la plupart des méthodes MFA ne peuvent que confirmer que l'utilisateur actuel a accès à l'appareil, mais elles ne peuvent garantir que l'utilisateur est le propriétaire légitime du compte. Il est possible que quelqu'un ait obtenu les références du compte par d'autres moyens. Cependant, les services de vérification d'identité en ligne tiers abordent efficacement cette limitation. En combinant l'utilisation de MFA et de contrôles d'identité tiers pour les opérations à haut risque, de nombreux risques de sécurité associés à la connexion sur plusieurs appareils peuvent être atténués.

Que pouvons-nous faire d'autre d'un point de vue produit ?#

Jusqu'à présent, nous n'avons trouvé aucun blocage technique qui empêcherait de soutenir la connexion sur plusieurs appareils d'un point de vue sécurité. Si les mesures actuelles sur un seul appareil peuvent assurer la sécurité, l'extension à la prise en charge de plusieurs appareils n'introduirait pas de risques de sécurité supplémentaires.

Nous avons déterminé qu'il n'y a pas de barrières techniques à la prise en charge de la connexion simultanée en termes de sécurité. De plus, si la sécurité peut être correctement maintenue sur un seul appareil, il n'y a pas de préoccupation majeure à étendre la prise en charge à plusieurs appareils. Cela peut être résolu sans aucun problème majeur.

Cependant, certaines mesures produits peuvent aider à améliorer encore plus la sécurité (en supposant que la connexion simultanée a déjà été soutenue) :

1. Déconnecter automatiquement un appareil s'il n'y a pas d'activité pendant un certain temps.
2. Soutenir la gestion des états de connexion et la surveillance des activités pour tous les appareils sur chaque appareil. Cela permet aux utilisateurs de déconnecter de force d'autres appareils si nécessaire, pour assurer la sécurité.
3. Envoyer des notifications sur les activités suspectes aux appareils, afin que les utilisateurs puissent juger s'il s'agit d'actions malveillantes et bloquer si nécessaire.

Existe-t-il une solution clé en main qui peut aider à résoudre ces problèmes ?#

En ce qui concerne les deux premiers problèmes, nous ne développerons pas trop, car ils impliquent des considérations commerciales et réglementaires. Cependant, si vous cherchez une solution d'identité soutenant la connexion simultanée, Logto vaut la peine d'être vérifiée !

Le premier problème mentionné nécessite de suivre de quel appareil chaque activité provient. Les journaux d'activité des utilisateurs existants de Logto enregistrent déjà les informations de l'appareil, ce qui peut aider les utilisateurs de Logto à respecter les exigences de conformité dans ce domaine. Comme les exigences de conformité diffèrent selon les régions, il peut y avoir des contradictions entre les règles réglementaires dans différentes zones. Si vous avez des besoins spéciaux, n'hésitez pas à contacter l'équipe Logto.

En ce qui concerne le deuxième problème de consolidation de compte, nous étions bien conscients des difficultés et de l'importance de plusieurs méthodes de connexion pour chaque compte lors de la conception de Logto. Nos flux de connexion et d'inscription tentent de prévenir la création de comptes redondants, permettant à un compte d'être accédé par différentes méthodes comme Google, email, nom d'utilisateur/mot de passe, etc.

En ce qui concerne les "services de vérification d'identité en ligne tiers" mentionnés dans le troisième problème, les utilisateurs de Logto peuvent se lier avec des tiers pour obtenir cela.

L'objectif de Logto est de permettre la compatibilité MFA avec les méthodes courantes (sera lancé en 2023H2, subscribe our newsletter pour être notifié !), et de combiner les configurations avec notre expérience de connexion existante (Chapter1, Chapter2). Nous accueillons vivement tous les cas d'utilisation de MFA à partager avec nous - ceux-ci fourniront des références importantes pour notre produit final. Toute fonctionnalité de Logto adhère à trois principes : sûre, aussi facile à utiliser que possible, et résolvant les problèmes des utilisateurs. Avec notre puissante configuration d'expérience de connexion, les utilisateurs peuvent facilement construire un flux de connexion/inscription prêt pour l'entreprise en un rien de temps. Logto SOUTIENT DÉJÀ la connexion sur plusieurs appareils. Une fois que MFA est prêt, Logto peut amener les utilisateurs à un niveau de sécurité supérieur!