Den som loggar in i ditt LMS en gång om året för en compliance-repetition kommer aldrig att komma ihåg sitt lösenord. Då klickar personen på ”glömt lösenord”, väntar på ett mejl, hittar på ett nytt lösenord som glöms igen, eller ger upp och skapar ett ärende. Inloggning utan lösenord tar bort själva lösenordet. Den här guiden förklarar hur det fungerar, var säkerhetsavvägningarna egentligen finns och när det är värt att lägga till enkel inloggning med SAML ovanpå.
Därför fungerar lösenord dåligt för deltagare som loggar in sällan
Lösenord fungerar bäst för system som folk använder varje dag. En utbildningsplattform är ofta raka motsatsen: folk loggar in när de registreras, när en påminnelse kommer eller när ett certifikat snart går ut.
Det skapar en förutsägbar uppsättning problem:
- Glömda lösenord. Med månader mellan inloggningarna börjar många deltagare med en återställning, ofta samma dag som utbildningen ska vara klar.
- Återanvändning. Folk som inte kan komma ihåg ännu ett lösenord återanvänder ett från någon annanstans. Om den andra webbplatsen hackas kan samma e-postadress och lösenord provas mot ditt LMS.
- Kringgåenden. Stränga lösenordsregler leder till lösenord på post-it-lappar eller förutsägbara varianter som att lägga till en siffra varje gång.
- Supportbelastning. Varje utelåsning och återställning är ett ärende för din helpdesk eller ditt L&D-team.
Det finns också en mer sällan nämnd poäng. De flesta lösenordssystem låter folk återställa sitt lösenord via e-post, vilket innebär att inkorgen redan styr kontot. Lösenordet är den del som folk glömmer, inte den del som skyddar dem. Inloggning utan lösenord gör bara det uttryckligt.
Så fungerar inloggning utan lösenord
Engångskoder via e-post
- Deltagaren anger sin e-postadress.
- LMS:et genererar en kort slumpmässig kod och mejlar den till deltagaren.
- Deltagaren skriver in koden, och LMS:et kontrollerar den.
En väl utformad kod fungerar en gång, går ut inom några minuter och slutar fungera efter några felaktiga försök. Det finns inget att komma ihåg, inget som återanvänds från en annan webbplats och inget lösenord som kan läcka.
Vissa system mejlar en inloggningslänk i stället för en kod. Koder är praktiska när någon läser e-post i mobilen men loggar in på en jobbdator, eftersom personen bara kan skriva över koden.
Konton hos Google, Microsoft eller LinkedIn
Med knappar av typen ”logga in med” lämnar LMS:et över inloggningen till leverantören med hjälp av standardprotokoll som OAuth 2.0 och OpenID Connect. Leverantören kontrollerar vem personen är, inklusive eventuell tvåstegsverifiering på kontot, och talar om för LMS:et vem personen är och personens verifierade e-postadress. LMS:et ser aldrig personens lösenord.
Det passar personal som redan loggar in på Microsoft 365 eller Google Workspace varje dag: ett klick och de är inne.
Säkerhetsavvägningarna, ärligt talat
Inloggning utan lösenord är ingen trollformel. Den flyttar förtroendet till någon annanstans, och du bör veta vart.
| Metod | Vad som skyddar kontot | Vad du bör hålla ögonen på |
|---|---|---|
| Lösenord | Något som deltagaren kommer ihåg | Återanvändning, svaga val och återställning via e-post ändå |
| Engångskod via e-post | Åtkomst till deltagarens inkorg | En komprometterad e-postlåda innebär ett komprometterat LMS-konto |
| Google, Microsoft eller LinkedIn | Leverantörskontot och dess tvåstegsverifiering | Personliga konton ligger utanför din kontroll |
| Enkel inloggning med SAML | Din identitetsleverantör och dess policyer | Uppsättningsarbete, och beroendet av att leverantören är tillgänglig |
Några detaljer som är värda att förstå:
- E-postkontot är viktigast. Den som kan läsa en deltagares e-post kan logga in som den deltagaren. Flerfaktorsautentisering på jobbets e-postlådor gör mer för LMS-säkerheten än någon lösenordsregel.
- Utgångstid och begränsade försök stoppar gissning. En sexsiffrig kod har omkring en miljon möjliga värden, så tre försök ger den som gissar bara några chanser på en miljon, och varje kod lever i minuter. Gränser för hur ofta koder kan begäras bromsar det ytterligare.
- Koder kan fortfarande nätfiskas. En falsk inloggningssida kan be om en kod och använda den direkt. Lär folk att bara ange koder på ditt LMS:s riktiga adress och att ingen, supporten inkluderad, någonsin kommer att be dem om en.
- Delade e-postlådor försvagar dina register. Om flera personer kan läsa en inkorg kan vilken som helst av dem logga in som dess ägare. Varje deltagare behöver en egen adress för att utbildningsregistren ska betyda något.
- De som slutar måste tas bort överallt. Ett personligt Google- eller LinkedIn-konto försvinner inte när någon slutar. Stäng av eller arkivera personen i LMS:et som en del av avslutningsrutinen, inte bara i din katalog.
- E-postleveransen är en del av systemet. Koder som hamnar i skräpposten eller kommer sent leder till misslyckade inloggningar. Be IT att släppa igenom LMS:ets e-post genom era e-postfilter.
Planera för återställning innan du behöver den
Med inloggning utan lösenord försvinner ärenden om ”glömt lösenord” i stort sett. Den vanliga supportfrågan blir i stället ”jag fick ingen kod”, och svaret är nästan alltid att kontrollera skräpposten, bekräfta adressen och begära en ny kod.
Administratörer kräver mer eftertanke. Om du förlitar dig på enkel inloggning och din identitetsleverantör har ett avbrott, eller en inställning ändras av misstag, behöver du en väg in som inte är beroende av det som gick sönder. God praxis:
- Ha minst två administratörer, så att en persons förlorade åtkomst inte låser ute organisationen.
- Se till att administratörer har en återställningsväg som inte är beroende av din identitetsleverantör.
- Prova den återställningsvägen en gång, i lugn och ro, innan du behöver den en dålig dag.
- Om du begränsar administratörer till kontorets IP-intervall, kontrollera hur administratörer på distans ska ta sig in.
När du bör lägga till enkel inloggning med SAML
Engångskoder via e-post och inloggning med sociala konton passar de flesta deltagare. Enkel inloggning med SAML är värt att lägga till när:
- Din personal redan hanteras i Microsoft Entra ID, Okta eller Google Workspace.
- Du vill att din identitetsleverantörs policyer för flerfaktorsautentisering och åtkomst ska gälla även utbildningen.
- Du vill att folk ska förlora åtkomsten så snart de inaktiveras i din katalog.
- Säkerhetsgranskningar eller kundenkäter kräver enkel inloggning.
Det är inte hela svaret om många deltagare står utanför din katalog, till exempel entreprenörer, volontärer, kunder eller andra organisationers personal. Då använder du SSO för din egen personal och behåller engångskoder via e-post för alla andra. Vi går igenom uppsättningen närmare i enkel inloggning för ditt LMS.
Så gör Acadenix
Acadenix har inga lösenord alls. Folk loggar in på något av de här sätten:
- Engångskoder via e-post. Folk anger sin e-postadress och får en sexsiffrig kod. Den fungerar en gång, i fem minuter, och slutar fungera efter tre felaktiga försök. Om du begär koder för ofta får du vänta.
- Google, Microsoft och LinkedIn. Varje metod slås på eller av under Settings → Authentication (Inställningar → Autentisering) och kan begränsas till särskilda verifierade e-postdomäner. Innan en ändring sparas ser du hur många personer och sessioner den påverkar.
- Dina egna inloggningsappar. Organisationer kan använda sin egen Google-, Microsoft- eller LinkedIn-app. Med din egen Microsoft-app kan bara konton i din tenant använda den.
- Enkel inloggning med SAML i Gold. Koppla Microsoft Entra ID, Okta eller Google Workspace. Deltagarkonton kan skapas vid första inloggningen, men bara för adresser på din organisations e-postdomäner. Första gången någon loggar in via SAML mejlas en kod för att bekräfta kopplingen, en gång per person. De andra metoder du har slagit på finns kvar som reservväg. Se abonnemang och priser.
För administratörer finns extra skyddsåtgärder. Administratörer kan begränsas till dina IP-intervall utan att deltagarna påverkas, och inaktiva sessioner loggas ut. Om din vanliga inloggning slutar fungera kan en administratör fortfarande ta sig in med en återställningskod som skickas till personens e-post, och den vägen kan inte stängas av. Att stänga av någons konto hindrar personen från att logga in på en gång, och Email History (e-posthistorik) visar vilka e-postmeddelanden som skickades eller misslyckades de senaste 30 dagarna, utan att meddelandenas innehåll eller koder sparas. Mer information finns på vår säkerhetssida.
Sammanfattning
- För deltagare som loggar in sällan skapar lösenord återställningar, återanvändning och ärenden utan att ge mycket skydd.
- Engångskoder via e-post och inloggning med jobbkonto tar bort lösenordet; inkorgen eller leverantörskontot blir nyckeln, så skydda det med flerfaktorsautentisering.
- Engångskoder som går ut snabbt och tillåter få försök gör gissning ogenomförbar, men folk behöver ändå veta att de aldrig ska dela en kod.
- Planera återställning för administratörer och avslutningsrutiner innan du slår på metoder.
- Lägg till enkel inloggning med SAML när din personal finns i en central identitetsleverantör och behåll engångskoder via e-post för alla andra.
Om lösenord är den största källan till dina supportärenden kring utbildning kan du se hur inloggning utan lösenord fungerar med dina egna medarbetare. Begär en utvärdering och sätt upp de inloggningsmetoder som passar din organisation.
