Webサービスへのログイン手順の変化について

Question

最近の Web サービスでは，以下のようなプロセスでログインを行うことが増えていると思います：

1. まずユーザ名 or メールアドレスを入力させる
2. 一致するアカウントがあれば，パスワードを入力させる
3. (optional) 二段階認証を行う

実際，Google でもそのようなログインになっています：

Step 1	Step 2
まずメールアドレスを入力させて……	その後でパスワードを入力させる

しかし，昔は 1. の「ユーザ名の入力」と 2. の「パスワードの入力」を，同一画面で一度に行うのが普通でしたよね。

なぜ，最近になって「ユーザ名が存在することを確認してから，パスワードを入力させる」というプロセスになったのでしょうか。

セキュリティ的には，ユーザ名とパスワードを同時に入力するタイプだとどちらが間違えていたか分からないため，攻撃されにくいと思うのですが……。

Answer 1

ほぼ同じ内容の質問をしたことがあります。
ログインフォームのID確認

頂いた回答はどちらも興味深いものでした。
参考まで。

Comments

[h-matsuo]

リンクありがとうございました。大変興味深かったです。

Answer 2

Googleの場合、複数ログインした状態で接続するとアカウントの選択画面が表示されるため、ちょっと動線が違ってきます。

また、Googleでもメールアドレスを入れてログインしようとすればアイコンが表示されるのですが、別なサービスで「ログイン画面に表示する画像」を登録して、本物のログイン画面であればその画像が表示される、というようにアドレスだけで何かしらの確認ステップを入れる、というような例もあります。

アカウント作成時に、アカウント名を入力しただけで「使用済みです」と出るようなサイトも、ここTeratailなど数多くあるので、「そこだけ隠しても大きなセキュリティ問題はない」と利便性を優先しているのかもしれません。

Comments

[h-matsuo]

> 「ログイン画面に表示する画像」を登録して、本物のログイン画面であればその画像が表示される
Yahoo! JAPAN なんかもこういう方式ですよね。

仰る通り，アカウント名単体を知る手段が増え，また二段階認証等のセキュリティ強化策が導入された現在では，ユーザの利便性を優先した設計が増えているのかもしれませんね。

ご回答ありがとうございました。