Passwörter gehören für viele Kunden zu den größten Hürden beim Zugriff auf ein bestehendes Kundenkonto. Sie werden vergessen, falsch eingegeben oder müssen unmittelbar vor dem Abschluss einer Bestellung zurückgesetzt werden.

Mit unserem neuen Modul „Login mit PIN“ für PrestaShop 9 erhalten Shopbetreiber eine komfortable Alternative zur klassischen Anmeldung. Kunden können sich mit ihrer E-Mail-Adresse und einem sechsstelligen Einmalcode anmelden, ohne ihr Passwort eingeben zu müssen.

Warum ein PIN-Login?

In vielen Onlineshops wird das Kundenkonto nur gelegentlich verwendet. Zwischen zwei Bestellungen können Wochen oder Monate liegen. Entsprechend häufig erinnern sich Kunden nicht mehr an ihr Passwort.

Der übliche Ablauf ist dann:

1. Passwort falsch eingeben
2. Funktion „Passwort vergessen“ aufrufen
3. E-Mail abwarten
4. neues Passwort vergeben
5. zum Shop zurückkehren
6. Anmeldung erneut durchführen

Besonders während des Checkouts kann dieser zusätzliche Aufwand zu einem Kaufabbruch führen.

Beim Login mit PIN wird dieser Vorgang deutlich verkürzt. Der Kunde gibt seine E-Mail-Adresse ein, erhält einen sechsstelligen Code und kann sich unmittelbar anmelden.

So funktioniert die Anmeldung

Der Ablauf ist bewusst einfach gehalten.

Zunächst öffnet der Kunde die Seite /pin-login und gibt dort seine registrierte E-Mail-Adresse ein. Das Modul erzeugt anschließend einen zufälligen sechsstelligen Einmalcode und versendet ihn über das E-Mail-System von PrestaShop.

Nach Erhalt der Nachricht gibt der Kunde die PIN in das vorgesehene Feld ein. Sobald die sechste Ziffer eingetragen wurde, startet die Prüfung automatisch.

Ein zusätzliches Bestätigen über die Enter-Taste oder den Anmeldebutton ist nicht erforderlich.

Wurde der vollständige Code aus der E-Mail kopiert, kann er ebenfalls direkt in das Feld eingefügt werden. Das Modul erkennt die sechs Ziffern und führt die Prüfung automatisch aus.

Der klassische Passwort-Login bleibt bestehen

Das Modul ersetzt die bestehende PrestaShop-Anmeldung nicht. Es ergänzt sie um eine weitere Möglichkeit.

Kunden können sich weiterhin wie gewohnt mit E-Mail-Adresse und Passwort anmelden. Der PIN-Login steht als komfortable Alternative zur Verfügung.

Dadurch entsteht keine Abhängigkeit vom E-Mail-Versand. Sollte eine PIN-Nachricht verspätet eintreffen oder im Spamordner landen, kann der Kunde weiterhin sein gewohntes Passwort verwenden.

Einmalcode statt dauerhaftem Kunden-PIN

Bei der Entwicklung war uns wichtig, keinen dauerhaft gültigen Kunden-PIN zu verwenden.

Ein fester Zahlencode wäre häufig leichter zu erraten als ein sicheres Passwort. Deshalb erzeugt das Modul bei jeder Anforderung einen neuen Einmalcode.

Der Code:

• besteht aus sechs Ziffern,
• ist nur für einen begrenzten Zeitraum gültig,
• kann nur einmal verwendet werden,
• wird nicht im Klartext gespeichert,
• verliert beim Anfordern eines neuen Codes seine Gültigkeit.

In der Datenbank wird ausschließlich ein Hashwert des Codes gespeichert. Eine Rekonstruktion der ursprünglichen PIN aus diesem Wert ist nicht vorgesehen.

Schutz vor automatisierten Anfragen

Ein PIN-Login muss nicht nur komfortabel, sondern auch gegen missbräuchliche Anfragen abgesichert sein.

Das Modul verfügt deshalb über mehrere Begrenzungen. Dazu gehören eine Wartezeit zwischen zwei Anforderungen, ein Stundenlimit sowie Beschränkungen anhand der E-Mail-Adresse und der IP-Adresse.

Auch die Anzahl falscher Eingabeversuche ist begrenzt. Nach zu vielen fehlerhaften Eingaben kann der betreffende Vorgang nicht weiterverwendet werden.

Die Werte lassen sich im Administrationsbereich an die Anforderungen des Shops anpassen.

Keine Auskunft über registrierte Kundenadressen

Loginformulare dürfen Angreifern nicht dabei helfen, vorhandene Kundenkonten zu ermitteln.

Deshalb zeigt das Modul unabhängig vom Ergebnis eine neutrale Meldung an. Auch bei einer unbekannten E-Mail-Adresse wird nicht offengelegt, ob ein Kundenkonto existiert.

Ein möglicher Hinweis lautet:

„Wenn zu dieser E-Mail-Adresse ein Kundenkonto besteht, wurde ein Anmeldecode versendet.“

Damit erhält ein Besucher keine Bestätigung darüber, ob eine bestimmte Adresse in der Kundendatenbank gespeichert ist.

Rückkehr zu Warenkorb und Checkout

Ein wichtiger Punkt bei der Umsetzung war die Rückleitung nach der Anmeldung.

Ruft ein Kunde den PIN-Login aus dem Warenkorb oder während des Bestellprozesses auf, soll er anschließend nicht auf einer allgemeinen Kontoseite landen. Das Modul speichert deshalb das ursprüngliche interne Ziel.

Nach erfolgreicher PIN-Prüfung wird der Kunde beispielsweise zurückgeleitet zu:

• seinem Warenkorb,
• dem Checkout,
• seinem Kundenkonto,
• einer zuvor aufgerufenen Shopseite.

Der bestehende Warenkorb bleibt dabei erhalten.

Aus Sicherheitsgründen akzeptiert das Modul ausschließlich interne Shopadressen als Rückleitungsziel. Eine Weiterleitung auf fremde Domains wird verhindert.

Eine saubere URL für den Kunden

Statt eines langen technischen Modulpfades verwendet das Modul die übersichtliche Adresse:

/pin-login

Sichtbare Parameter mit vollständigen Rückleitungsadressen sind nicht erforderlich. Das Ziel wird intern im PrestaShop-Kontext gespeichert.

Dadurch bleibt die Browserzeile übersichtlich und der Login wirkt wie ein fester Bestandteil des Shops.

E-Mail-Versand über die PrestaShop-Konfiguration

Für den Versand verwendet das Modul die vorhandene Mailkonfiguration des Shops.

Ist PrestaShop für den Versand über SMTP eingerichtet, werden auch die PIN-Nachrichten über diese Verbindung versendet. Alternativ kann die in PrestaShop konfigurierte PHP-Mail-Funktion verwendet werden.

Deutsche und englische E-Mail-Vorlagen sind bereits im Modul enthalten.

Für einen zuverlässigen Betrieb sollte vor der Freischaltung geprüft werden, ob die allgemeinen Test-E-Mails von PrestaShop korrekt zugestellt werden.

Administrationsbereich und Protokolle

Im Administrationsbereich können Shopbetreiber die wichtigsten Sicherheits- und Aufbewahrungseinstellungen konfigurieren.

Dazu gehören unter anderem:

• Gültigkeitsdauer der PIN
• maximale Fehlversuche
• Wartezeit zwischen Anforderungen
• maximale Anforderungen pro Stunde
• Dauer der Protokollaufbewahrung
• Testmodus
• automatische Bereinigung

Zusätzlich steht ein Protokoll der Anmeldeversuche zur Verfügung. Dadurch lässt sich nachvollziehen, ob ein Code versendet, erfolgreich geprüft, falsch eingegeben oder wegen Ablaufs abgelehnt wurde.

Automatische und manuelle Bereinigung

Abgelaufene und verwendete PIN-Datensätze müssen nicht dauerhaft gespeichert bleiben.

Das Modul verfügt deshalb über eine automatische Bereinigung. Die Aufbewahrungsdauer kann im Backend festgelegt werden.

Zusätzlich steht eine manuelle Bereinigungsfunktion zur Verfügung. Mit ihr können abgelaufene und bereits verwendete PIN-Datensätze unmittelbar entfernt werden.

Testmodus für die Einrichtung

Bei der erstmaligen Einrichtung kann ein Testmodus aktiviert werden. In diesem Modus zeigt das Modul den erzeugten Code zusätzlich direkt auf der Seite an.

Damit lässt sich der vollständige Anmeldeablauf auch dann prüfen, wenn die E-Mail-Konfiguration noch nicht vollständig eingerichtet wurde.

Im produktiven Betrieb sollte der Testmodus immer deaktiviert sein.

Für welche Shops eignet sich das Modul?

Der PIN-Login eignet sich besonders für Shops mit wiederkehrenden Kunden, bei denen zwischen einzelnen Bestellungen längere Zeiträume liegen.

Typische Einsatzbereiche sind:

• Fachhändler mit Stammkunden
• B2B-Shops
• Shops mit häufigen Nachbestellungen
• Ersatzteilshops
• Verbrauchsartikel und Zubehör
• Kundenkonten mit Bestellhistorie oder gespeicherten Adressen

Auch für mobile Besucher kann die Anmeldung per Zahlencode angenehmer sein als die Eingabe eines komplexen Passworts.

Fazit

Der Login mit PIN macht den Zugriff auf ein bestehendes PrestaShop-Kundenkonto schneller und komfortabler.

Kunden müssen sich kein Passwort merken und können sich innerhalb weniger Schritte mit einem zeitlich begrenzten Einmalcode anmelden. Gleichzeitig bleibt die klassische Anmeldung weiterhin verfügbar.

Durch die automatische Prüfung nach der sechsten Ziffer, die saubere URL, sichere Rückleitungen und konfigurierbare Schutzmechanismen integriert sich das Modul vollständig in PrestaShop 9.

Das Modul „Login mit PIN“ ist ab sofort für PrestaShop 9 verfügbar.