Optimierungen für die automatische Passwortänderung

Optimieren Sie Ihre Website, damit der Google Passwortmanager Passwortänderungen für kompromittierte Anmeldedaten automatisieren kann.

José Luis Zapata

Ece Scheuss

Mit der automatischen Passwortänderung können Nutzer in den USA, die die Chrome-Desktopversion verwenden, Passwörter, die in öffentlichen Datenpannen gefunden wurden, schnell aktualisieren. Wenn Google feststellt, dass ein gespeichertes Passwort offengelegt wurde, kann der Google Passwortmanager ein starkes, eindeutiges Ersatzpasswort erstellen und es für Ihre Nutzer aktualisieren.

Die Funktion füllt das Formular zum Ändern des Passworts der Website für den Nutzer mit einem neuen, starken Passwort aus und speichert es im Google Passwortmanager – alles im Hintergrund. Dadurch sind keine manuellen Updates mehr erforderlich und Nutzer können ihr Konto besser schützen.

Nutzererfahrung

Wenn sich ein Nutzer mit einem kompromittierten Passwort auf einer unterstützten Website anmeldet, bietet der Google Passwortmanager möglicherweise an, das Passwort für ihn zu ändern. Wenn sie zustimmen, beginnt der automatische Passwortänderungsprozess.

Bei der automatischen Passwortänderung wird die Website aufgerufen und das Passwort für den Nutzer aktualisiert.

Der Nutzer kann den Vorgang abbrechen, während er läuft. Nach Abschluss des Vorgangs wird das neue Passwort im Google Passwortmanager gespeichert und mit dem Google-Konto des Nutzers verknüpft. Es ist also auf allen synchronisierten Geräten verfügbar.

So werden gehackte Passwörter erkannt

Wenn ein Nutzer ein Passwort speichert oder sich auf einer Website anmeldet, prüft Chrome, ob der Nutzername und das Passwort bei einer öffentlichen Datenpanne preisgegeben wurden.

Dazu vergleicht Chrome Ihre verschlüsselten Anmeldedaten mithilfe eines datenschutzfreundlichen Verfahrens mit einer Liste bekannter Sicherheitsverletzungen. Wird eine Übereinstimmung gefunden, benachrichtigt Chrome den Nutzer, dass das Passwort gehackt wurde. Google sieht niemals die tatsächlichen Nutzernamen oder Passwörter. Weitere Informationen dazu, wie Google Ihre Konten vor Datenpannen schützt, finden Sie im Google-Sicherheitsblog.

Listen mit unsicheren Passwörtern werden durch öffentliche Datenpannen und Sicherheitsanalysten erstellt.

Optimierung für die automatische Passwortänderung

Wenn Sie Ihre Website für die automatische Passwortänderung optimieren und die Kompatibilität mit Google Passwortmanager und anderen Tools verbessern möchten, sollten Sie die folgenden Webstandards und Best Practices implementieren. Diese Änderungen sorgen dafür, dass Browser und Passwortmanager zuverlässig mit passwortbezogenen Formularen interagieren können.

Verwenden Sie eine bekannte URL zur Passwortänderung.

Verwenden Sie den Pfad /.well-known/change-password, um die Position Ihrer Seite zum Ändern des Passworts anzugeben. Mithilfe dieser URL können Browser und Passwortmanager wie der Google Passwortmanager Nutzer schnell an die richtige Stelle weiterleiten, wenn ein Passwort aktualisiert werden muss.

Beispiel:

https://yourdomain.com/.well-known/change-password 

Das verbessert die Nutzerfreundlichkeit und unterstützt Funktionen wie die automatische Passwortänderung. Wenn Sie diesen Pfad unterstützen, ist es wahrscheinlicher, dass Ihre Website mit automatisierten Tools kompatibel ist.

Die URL /.well-known/change-password muss zu Ihrem Formular zum Ändern des Passworts weiterleiten.

Sie haben zwei Möglichkeiten, die Weiterleitung zu implementieren:

• Serverseitig (empfohlen):
  • Konfigurieren Sie Ihren Webserver (z. B. Apache oder Nginx) so, dass er eine temporäre Weiterleitung mit dem HTTP-Statuscode 302, 303 oder 307 ausgibt.
  • Vermeiden Sie die Verwendung von 301-Weiterleitungen (permanente Weiterleitung), falls sich das Ziel ändert.
  • Wenn der Nutzer nicht angemeldet ist, kann er durch die Weiterleitung zuerst zum Anmeldevorgang geleitet werden.

• HTML-Meta-Aktualisierung (Alternative):

  • Stellen Sie eine einfache HTML-Seite unter dem bekannten Pfad bereit, die eine clientseitige Weiterleitung ausführt:

  <!DOCTYPE html> <html> <head>   <meta http-equiv="refresh" content="0;url=https://example.com/settings/password">   <title>Redirecting...</title> </head> <body>   <p>Redirecting you to the change password page...</p> </body> </html> 

  • Unter dem Pfad /.well-known/change-password darf sich nicht das eigentliche Formular zum Ändern des Passworts befinden. Sie dient nur zur Suche und Weiterleitung. Weitere Informationen finden Sie unter A Well-Known URL for Changing Passwords.

Weitere Informationen zur bekannten URL zum Ändern von Passwörtern finden Sie im Artikel Nutzern das Ändern von Passwörtern erleichtern, indem Sie eine bekannte URL zum Ändern von Passwörtern hinzufügen.

Attribute für die automatische Vervollständigung in Formularen verwenden

Browser und Passwortmanager verwenden das Attribut autocomplete, um den Zweck von Formularfeldern zu ermitteln. Dieses Attribut trägt dazu bei, die Genauigkeit von Autofill zu verbessern, ermöglicht die Passwortgenerierung und ist erforderlich, damit Funktionen wie die automatische Passwortänderung zuverlässig funktionieren.

Verwenden Sie diese autocomplete-Werte:

Das folgende Code-Snippet zeigt ein Beispielformular mit autocomplete-Werten:

... <form action="/change-password-handler" method="post">   <div>     <label for="current-pw">Current password:</label>     <input type="password" id="current-pw" name="current-password"            autocomplete="current-password" required>   </div>    <div>     <label for="new-pw">New password:</label>     <input type="password" id="new-pw" name="new-password"            autocomplete="new-password" required minlength="8"            aria-describedby="password-constraints">     <div id="password-constraints">Minimum 8 characters.</div>   </div>    <div>     <label for="confirm-pw">Confirm new password:</label>     <input type="password" id="confirm-pw" name="confirm-password"            autocomplete="new-password" required minlength="8">   </div>    <button type="submit">Change password</button> </form> ... 

Zusätzliche Best Practices

Hier finden Sie Richtlinien, mit denen Sie die Nutzerfreundlichkeit und Kompatibilität Ihrer Formulare zum Ändern von Passwörtern verbessern können:

• Verwenden Sie semantische HTML-Elemente wie <form>, <label> und <button>.
• Prüfen Sie, ob Labels mithilfe der Attribute for und id richtig mit Eingaben verknüpft sind.
• Passwortregeln mit Attributen wie minlength oder pattern anzeigen und Inline-Anleitungen bereitstellen.
• Eine Bestätigungs- oder Fehlermeldung in der Nähe des Formulars anzeigen