Jokainen uusi asiakas aloittaa samalla tavalla: hänelle luodaan tili, ja jonkun on kerrottava hänelle salasana. Digitoimistolle, IT-palveluyritykselle (MSP) tai SaaS-tiimille, jonka käyttöönotossa autetaan asiakasta henkilökohtaisesti, tämä hetki toistuu kymmeniä kertoja vuodessa. Tervetuloviesti, jossa on kirjautumistiedot, on alan varmimpia tietovuotojen lähteitä.
Kirjautumistietojen kertajakaminen asiakkaan käyttöönotossa korvaa tämän sähköpostin linkillä, joka tuhoutuu ensimmäisellä avauskerralla. Alla kuvattu käytäntö vie minuutin asiakasta kohden, toimii sekä ensimmäiseen kirjautumiseen että luottamuksellisiin käyttöönotto-ohjeisiin ja jättää jäljen, johon voit myöhemmin viitata.
Mitä tervetuloviestiin kuuluu ja mitä ei
Käyttöönotossa sekoittuu kahdenlaista tietoa. Lajittele ne ennen kuin kirjoitat mitään.
| Tavalliseen sähköpostiin | Kertakäyttölinkkiin |
|---|---|
| Tervetulotoivotus, aloituspalaverin aikataulu, yhteyshenkilöt | Alkuperäinen salasana tai pääsykoodi |
| Julkiset ohjeartikkelit ja kirjautumisen URL-osoite | API-avaimet, webhookien salaisuudet, integraatioiden tunnisteet |
| Mitä asiakas saa ja milloin | Sisäiset menettelyt, ylläpidon URL-osoitteet, kaikki, mitä et haluaisi välitettävän eteenpäin |
| Käyttäjätunnus (yksinään) | Salalauseet ja palautuskoodit |
Nyrkkisääntö: jos sähköpostin eteenpäin välitetyllä kopiolla joku voisi esiintyä asiakkaana, kyseinen rivi kuuluu linkkiin.
Käytäntö vaihe vaiheelta
- Luo asiakkaalle tili, jolla on oma kirjautuminen ja tarvittava rooli. Jos alustasi tukee sitä, tee ensimmäisestä salasanasta väliaikainen, jotta asiakkaan on vaihdettava se ensimmäisellä kirjautumiskerralla.
- Varmista yhteyshenkilö. Käytä allekirjoitetun sopimuksen tai aloituspalaverin nimeä ja osoitetta. Jos kirjautumistietoja pyydettiin uudesta osoitteesta, varmista asia puhelimitse henkilöltä, jonka jo tunnet.
- Luo kertakäyttölinkki. Liitä salaisen linkin työkaluun salasana eikä mitään muuta. Teksti salataan selaimessasi ennen tallennusta, tallennettu kopio tuhotaan ensimmäisellä avauskerralla, ja jos kukaan ei avaa linkkiä, se vanhenee asettamanasi ajankohtana.
- Aseta voimassaoloaika todellisen tarpeen mukaan. Tunti, jos olet puhelussa asiakkaan kanssa, 24 tuntia, jos hän avaa linkin myöhemmin. Aseta katselukertojen enimmäismääräksi yksi.
- Lisää salalause Pro-paketissa, kun kyse on ylläpitäjän oikeuksista, ja lähetä se tekstiviestillä tai lue se ääneen puhelussa.
- Lähetä linkki tervetuloviestissä yhdessä käyttäjätunnuksen, kirjautumisen URL-osoitteen ja yhden rivin kanssa, joka kertoo, että linkki avautuu kerran ja vanhenee tiettynä aikana. Viestissä ei nyt ole mitään, mitä hyökkääjä voisi käyttää.
- Varmista, että kirjautuminen onnistuu, älä kysy salasanaa. Pyydä asiakasta kirjautumaan sisään ja vaihtamaan salasana. Jos linkki näkyy avattuna jo ennen kuin asiakas ehti avata sen, vaihda kirjautumistiedot ja lähetä uusi linkki.
- Kirjaa luovutus: asiakas, tili, kuka tiedot vastaanotti, milloin ja milloin väliaikainen salasana vaihdettiin. Älä koskaan kirjaa itse salasanaa.
Yksi IT-palveluyrityksissä usein näkemämme tapa: väliaikainen ylläpitäjän salasana lähetetään lukemisen jälkeen tuhoutuvana linkkinä, jonka voimassaoloaika on tunti, salalause lähetetään tekstiviestinä, ja Pro-paketin tarkastusloki (loki linkin tapahtumista) näyttää myöhemmin tarkan minuutin, jolloin asiakas avasi linkin. Loki on todiste, kun asiakas kysyy, kenellä oli pääsy ja milloin.
Näin jaat luottamukselliset käyttöönotto-ohjeet kertakäyttölinkillä
Kirjautumistiedot ovat ilmeisin tapaus, mutta käyttöönottoon kuuluu myös aineistoa, joka ei ole salasana mutta jota ei silti pitäisi välittää eteenpäin: ylläpitokonsolin URL-osoite ja sen alkuperäinen pääsykoodi, ohjeet maksupalvelun liittämiseen tuotantoavaimella, ajo-ohje heille rakentamastasi integraatiosta tai asiakaskohtainen menettely, jossa on sisäisiä yksityiskohtia.
Jaa luottamukselliset käyttöönotto-ohjeet kertakäyttölinkillä samalla tavalla kolmella muutoksella:
- Kirjoita ohjeet siinä järjestyksessä, jossa asiakas ne tekee, ja nimeä jokaisessa vaiheessa virallinen portaali tai sovellus. Silloin hänen ei tarvitse esittää sähköpostissa jatkokysymyksiä, joissa sisältö lainataan takaisin.
- Jätä pysyvät osat pois. Ensimmäisellä avauksella tuhoutuva linkki ei sovi ohjeeseen, johon asiakas palaa myöhemmin. Laita pysyvä opas asiakasportaaliisi tai ohjekeskukseesi ja käytä kertakäyttölinkkiä vain luottamukselliseen osaan: koodiin, avaimeen tai sisäiseen URL-osoitteeseen.
- Liitä tiedosto, kun sisältö on asiakirja. Kirjautuneena LinkPilot-tilillä voit liittää enintään kolme tiedostoa, kukin enintään 9 Mt. Ne salataan selaimessasi ennen lähetystä ja poistetaan yhden latauksen jälkeen. Asiakaskohtaisten käyttöönottovaiheiden pdf-tiedosto mahtuu helposti.
Kerro asiakkaalle jo aloituspalaverissa, kuka linkin lähettää ja suunnilleen milloin. Silloin tuntematon linkki verkkotunnuksestasi ei näytä tietojenkalastelulta, eikä asiakas avaa sitä yhteiskäytössä olevalla koneella ennen kuin on valmis.
Käytännön laajentaminen useille asiakkaille
Kun digitoimistolla on monta asiakasta, käytännön on kestettävä se, että asiakkuuspäällikkö vaihtuu.
- Yksi tili asiakasta kohden, yhdet kirjautumistiedot henkilöä kohden. Yhteisiä ”agency@”-tunnuksia ei voi tarkastaa eikä poistaa siististi. LinkPilotin Agency-paketeissa jokainen asiakas saa erillisen työtilan omine jäsenineen ja verkkotunnuksineen, joten pääsy on rakenteeltaan asiakaskohtainen.
- Aseta voimassaoloaika oletuksena, älä harkinnan mukaan. Useimmat tiimit päätyvät 24 tuntiin käyttöönottolinkeille ja tuntiin puheluiden aikana.
- Pidä kirjaus CRM:ssä eikä sähköpostiketjussa: päivämäärä, vastaanottaja, mitkä kirjautumistiedot ja milloin ne vaihdettiin.
- Vaihda tiedot, kun yhteyshenkilö vaihtuu. Kun asiakkaan pääyhteyshenkilö lähtee, hänen pääsynsä päättyy ja kaikki hänen saamansa kirjautumistiedot vaihdetaan, vaikka asiakassuhde jatkuisi.
Milloin linkki on väärä työkalu
Kertakäyttölinkki toimittaa tiedon kerran. Se ei ole paikka säilyttää mitään, eikä se korvaa kunnollista käyttöoikeuksien hallintaa. Jos asiakkaan tiimi tarvitsee kirjautumistietoja jatkuvasti, ne kuuluvat asiakkaan omaan salasanojen hallintaohjelmaan. Jos alustasi voi kutsua asiakkaan sähköpostilla asettamaan oman salasanansa, käytä sitä ja jätä kirjautumistietojen luovutus kokonaan väliin. Linkki on tarkoitettu näiden väliin jäävään aukkoon ja jokaiseen käyttöönottoon, jossa tuo aukko on nykyään olemassa.