हर नए क्लाइंट की शुरुआत एक जैसी होती है: आपकी तरफ़ से कोई उनका अकाउंट बनाता है, और किसी को उन्हें पासवर्ड बताना होता है। एजेंसी, मैनेज्ड सर्विस प्रोवाइडर या ऐसी SaaS टीम के लिए जो ऑनबोर्डिंग खुद साथ बैठकर कराती है, यह पल साल में दर्जनों बार आता है। और क्रेडेंशियल वाला वेलकम ईमेल इस काम में जानकारी लीक होने के सबसे पक्के रास्तों में से एक है।
क्लाइंट ऑनबोर्डिंग में क्रेडेंशियल वन-टाइम लिंक से शेयर करने का मतलब है उस ईमेल की जगह एक बार खुलने वाला लिंक भेजना, जो पहली बार खुलते ही मिट जाता है। नीचे दिया गया तरीका हर क्लाइंट पर एक मिनट लेता है, पहले लॉगिन और ऑनबोर्डिंग के गोपनीय निर्देशों, दोनों के लिए काम करता है, और ऐसा रिकॉर्ड छोड़ता है जिसे आप बाद में दिखा सकें।
वेलकम ईमेल में क्या होना चाहिए और क्या नहीं
ऑनबोर्डिंग में दो तरह की जानकारी मिली होती है। कुछ भी लिखने से पहले उन्हें अलग कर लें।
| सामान्य ईमेल में जाता है | वन-टाइम लिंक में जाता है |
|---|---|
| वेलकम नोट, किकऑफ़ का शेड्यूल, किससे संपर्क करें | शुरुआती पासवर्ड या एक्सेस कोड |
| पब्लिक हेल्प आर्टिकल और लॉगिन URL | API keys, webhook सीक्रेट, इंटीग्रेशन टोकन |
| क्लाइंट को क्या मिलेगा और कब | अंदरूनी प्रक्रियाएं, एडमिन URL, ऐसी कोई भी चीज़ जिसे आप फ़ॉरवर्ड होते नहीं देखना चाहेंगे |
| उनका यूज़रनेम (अकेले) | कोई भी पासफ़्रेज़ या रिकवरी कोड |
मोटा नियम: अगर ईमेल की फ़ॉरवर्ड की गई कॉपी से कोई क्लाइंट बनकर काम कर सके, तो वह लाइन लिंक में जानी चाहिए।
तरीका, कदम दर कदम
- क्लाइंट का अकाउंट बनाएं, उसके अपने लॉगिन और ज़रूरी रोल के साथ। अगर आपका प्लेटफ़ॉर्म इसकी सुविधा देता है, तो पहला पासवर्ड अस्थायी रखें, ताकि क्लाइंट को पहली बार साइन इन करते ही उसे बदलना पड़े।
- संपर्क व्यक्ति की पुष्टि करें। साइन किए गए एग्रीमेंट या किकऑफ़ कॉल वाला नाम और पता इस्तेमाल करें। अगर क्रेडेंशियल किसी नए पते से मांगे गए हैं, तो जिस व्यक्ति को आप पहले से जानते हैं, उससे फ़ोन पर पुष्टि करें।
- वन-टाइम लिंक बनाएं। सीक्रेट लिंक टूल में सिर्फ़ पासवर्ड पेस्ट करें, और कुछ नहीं। टेक्स्ट स्टोर होने से पहले आपके ब्राउज़र में ही एन्क्रिप्ट होता है, स्टोर की गई कॉपी पहली बार खुलते ही मिट जाती है, और अगर कोई लिंक नहीं खोलता, तो वह आपके तय किए समय पर एक्सपायर हो जाता है।
- एक्सपायरी असली ज़रूरत के हिसाब से रखें। अगर आप उनके साथ कॉल पर हैं तो एक घंटा, अगर वे बाद में खोलेंगे तो 24 घंटे। खुलने की सीमा एक बार रखें।
- Pro अकाउंट पर पासफ़्रेज़ जोड़ें, जब एक्सेस एडमिन लेवल का हो। पासफ़्रेज़ टेक्स्ट मैसेज से भेजें या कॉल पर पढ़कर सुना दें।
- लिंक वेलकम ईमेल में भेजें, साथ में यूज़रनेम, लॉगिन URL और एक लाइन, जिसमें लिखा हो कि लिंक एक बार खुलता है और बताए गए समय पर एक्सपायर हो जाता है। अब ईमेल में ऐसा कुछ नहीं है जिसका कोई हमलावर इस्तेमाल कर सके।
- पासवर्ड की नहीं, एक्सेस की पुष्टि करें। क्लाइंट से साइन इन करके पासवर्ड बदलने को कहें। अगर लिंक बताए कि वह क्लाइंट के पहुंचने से पहले ही खुल चुका था, तो क्रेडेंशियल रीसेट करें और नया लिंक भेजें।
- हैंडओवर दर्ज करें: क्लाइंट, अकाउंट, किसे मिला, कब मिला, और अस्थायी पासवर्ड कब बदला गया। पासवर्ड कभी नहीं।
MSP में हम एक पैटर्न अक्सर देखते हैं: अस्थायी एडमिन पासवर्ड पढ़ते ही मिट जाने वाले लिंक से जाता है, जिसकी एक्सपायरी एक घंटे की होती है, और पासफ़्रेज़ SMS से भेजा जाता है। बाद में Pro प्लान की ऑडिट टाइमलाइन ठीक वह मिनट दिखाती है जब क्लाइंट ने लिंक खोला था। जब कोई क्लाइंट पूछता है कि किसके पास कब पहुंच थी, तो यही टाइमलाइन सबूत होती है।
ऑनबोर्डिंग के गोपनीय निर्देश वन-टाइम लिंक से कैसे शेयर करें
क्रेडेंशियल सबसे सीधा मामला है, लेकिन ऑनबोर्डिंग में ऐसी सामग्री भी होती है जो पासवर्ड नहीं है, फिर भी फ़ॉरवर्ड नहीं होनी चाहिए: एडमिन कंसोल का URL और उसका शुरुआती एक्सेस कोड, लाइव API key से उनके पेमेंट प्रोवाइडर को जोड़ने के स्टेप, उनके लिए बनाए जा रहे इंटीग्रेशन की रनबुक, या अंदरूनी जानकारी वाली कोई ऐसी प्रक्रिया जो सिर्फ़ उसी क्लाइंट के लिए है।
ऑनबोर्डिंग के गोपनीय निर्देश भी इसी तरह वन-टाइम लिंक से शेयर करें, बस तीन बदलावों के साथ:
- निर्देश उसी क्रम में लिखें जिसमें क्लाइंट उन्हें पूरा करेगा, और हर स्टेप पर आधिकारिक पोर्टल या ऐप्लिकेशन का नाम दें, ताकि उन्हें ईमेल में ऐसे सवाल न पूछने पड़ें जिनमें सामग्री दोबारा कोट हो जाए।
- स्थायी हिस्से बाहर रखें। जो लिंक पहली बार खुलते ही मिट जाता है, वह ऐसे रेफ़रेंस के लिए गलत है जिस पर क्लाइंट बार-बार लौटेगा। लंबे समय तक काम आने वाली गाइड अपने क्लाइंट पोर्टल या हेल्प सेंटर में रखें, और वन-टाइम लिंक सिर्फ़ गोपनीय हिस्से के लिए इस्तेमाल करें: कोड, API key, अंदरूनी URL।
- जब सामग्री कोई डॉक्यूमेंट हो, तो फ़ाइल अटैच करें। साइन इन किए हुए LinkPilot अकाउंट से आप तीन फ़ाइलें तक अटैच कर सकते हैं, हर एक 9 MB तक की। वे अपलोड से पहले आपके ब्राउज़र में ही एन्क्रिप्ट होती हैं और एक बार डाउनलोड होने के बाद मिटा दी जाती हैं। क्लाइंट के अपने सेटअप स्टेप की PDF इसमें आसानी से आ जाती है।
किकऑफ़ कॉल में ही क्लाइंट को बता दें कि लिंक कौन भेजेगा और लगभग कब, ताकि आपके डोमेन से आया अनजान लिंक फ़िशिंग जैसा न लगे, और वे तैयार होने से पहले उसे किसी साझा कंप्यूटर पर न खोल दें।
कई क्लाइंट पर इसे लागू करना
कई क्लाइंट वाली एजेंसी को ऐसा तरीका चाहिए जो अकाउंट मैनेजर बदलने पर भी चलता रहे।
- हर क्लाइंट का एक अकाउंट, हर व्यक्ति का एक क्रेडेंशियल। “agency@” जैसे साझा लॉगिन का न ऑडिट हो सकता है, न उन्हें साफ़ तरीके से हटाया जा सकता है। LinkPilot के Agency प्लान हर क्लाइंट को अलग वर्कस्पेस देते हैं, जिसके अपने सदस्य और अपना डोमेन होता है, इसलिए एक्सेस शुरू से ही हर क्लाइंट के लिए अलग रहता है।
- एक्सपायरी डिफ़ॉल्ट से तय करें, हर बार अंदाज़े से नहीं। ज़्यादातर टीमें ऑनबोर्डिंग लिंक के लिए 24 घंटे और लाइव कॉल के लिए एक घंटा तय कर लेती हैं।
- रिकॉर्ड CRM में रखें, ईमेल थ्रेड में नहीं: तारीख, प्राप्तकर्ता, कौन-सा क्रेडेंशियल, और वह कब बदला गया।
- संपर्क बदलने पर क्रेडेंशियल बदलें। जब क्लाइंट का मुख्य संपर्क व्यक्ति चला जाए, तो उसका एक्सेस खत्म होता है और उसे मिला हर क्रेडेंशियल रीसेट किया जाता है, भले ही क्लाइंट के साथ काम जारी रहे।
जब लिंक सही टूल नहीं है
वन-टाइम लिंक कोई जानकारी एक बार पहुंचाता है। यह कुछ स्टोर करने की जगह नहीं है, और सही एक्सेस कंट्रोल का विकल्प भी नहीं है। अगर क्लाइंट की टीम को किसी क्रेडेंशियल की लगातार ज़रूरत है, तो उसकी जगह ऐसे पासवर्ड मैनेजर में है जो क्लाइंट का अपना हो। अगर आपका प्लेटफ़ॉर्म क्लाइंट को ईमेल से न्योता भेजकर खुद पासवर्ड सेट करने देता है, तो वही इस्तेमाल करें और क्रेडेंशियल सौंपने का कदम पूरी तरह छोड़ दें। लिंक इन दोनों के बीच की खाली जगह के लिए है, और हर उस ऑनबोर्डिंग के लिए जहां आज यह खाली जगह मौजूद है।