I clienti non riescono ad accedere all’area riservata: cosa controllare

Raccogliere una segnalazione utile all’assistenza

Chiedi quale indirizzo web è stato aperto, in quale momento compare il problema, quale messaggio viene mostrato e se si tratta del primo accesso. Sono utili anche dispositivo, browser e orario approssimativo, per collegare la segnalazione ai controlli tecnici autorizzati.

Non chiedere password, codici monouso o collegamenti personali di recupero. Se serve una schermata, invita a coprire dati e documenti non necessari. Il personale dovrebbe usare una scheda di assistenza breve e uniforme, evitando tentativi casuali che rendono difficile capire cosa sia cambiato.

Distingui almeno quattro situazioni: il cliente non trova l’ingresso, il modulo rifiuta l’accesso, il recupero non si completa oppure l’utente entra ma non vede ciò che gli serve. La guida all’area riservata clienti tratta la progettazione generale; qui l’obiettivo è individuare il guasto nel percorso già attivo.

Controllare indirizzo, invito e stato dell’account

Verifica, attraverso il personale autorizzato, che l’indirizzo comunicato corrisponda all’account previsto. Un’azienda può usare recapiti diversi per acquisti, amministrazione e consultazione documenti. Il cliente potrebbe tentare l’accesso con una casella corretta per i contatti commerciali ma mai abilitata al portale.

Controlla se l’invito è stato spedito, se risulta ancora valido e se l’attivazione è stata completata. Se il sistema distingue registrazione autonoma e invito dell’azienda, spiega quale percorso deve seguire il cliente. Creare un secondo account senza verifiche può separarlo dai documenti già associati al primo.

Per cambi di referente o indirizzo non più disponibile, applica la procedura di verifica prevista dall’attività. Non trasferire materiali riservati al nuovo recapito soltanto perché qualcuno lo richiede tramite una telefonata o un messaggio. Registra chi autorizza la modifica e quale account viene aggiornato.

Provare il modulo senza ostacolare gli strumenti del cliente

Controlla che le etichette indichino se serve un’email o un nome utente e che i messaggi siano comprensibili. Un browser può proporre le credenziali di un altro account salvato per lo stesso servizio: invita il cliente a verificare l’account selezionato senza inviarti la password.

Il W3C tratta l’accessibilità dell’autenticazione (si apre in una nuova scheda) e il supporto a compilazione automatica, gestori di password e incolla. Impedire questi strumenti può rendere l’accesso più difficile. Prova etichette, tastiera e controllo di visibilità della password, quando presente, con chi sviluppa il portale.

Se il sistema applica un’attesa dopo tentativi falliti, rendi chiaro il passo consentito. Non chiedere al cliente di riprovare continuamente: potrebbe prolungare il blocco e confondere la diagnosi. Le protezioni vanno verificate, senza disattivarle per aggirare una singola segnalazione.

Seguire la richiesta di recupero fino alla nuova password

Prova l’intero percorso con un account campione: richiesta, ricezione, apertura del collegamento, impostazione della nuova password e nuovo login. Se l’email non arriva, controlla l’invio dal sistema e la consegna, oltre alla cartella spam. La guida alle email aziendali nello spam aiuta a distinguere questi passaggi.

Le raccomandazioni OWASP sul recupero password (si apre in una nuova scheda) includono risposte che non rivelino l’esistenza di un account, collegamenti protetti, scadenza e uso singolo dei token. Il messaggio pubblico può quindi restare generico, mentre l’assistenza autorizzata verifica l’esito nei sistemi interni.

Controlla il comportamento quando il cliente apre un vecchio messaggio, richiede più invii o usa un collegamento già consumato. Se il sistema invalida i link precedenti, spiega di utilizzare l’ultimo ricevuto. Nessun passaggio dovrebbe inviare la password in chiaro per email.

Distinguere sessione scaduta e problemi del browser

Se il login sembra riuscire ma riporta subito alla schermata iniziale, annota il percorso e fai controllare sessione, dominio e configurazione tecnica. Il problema può coinvolgere reindirizzamenti o integrazioni fra sistemi, oltre al browser del cliente. Non attribuirlo automaticamente a una password errata.

Confronta un account di prova sul dispositivo interessato e su un browser aggiornato, mantenendo chiaro che cosa cambia fra le prove. Un test in un altro browser può isolare il problema; non dimostra da solo che cancellare tutti i dati personali di navigazione sia la soluzione definitiva.

Per accessi con secondo fattore, verifica che il cliente stia seguendo il metodo previsto e che disponga del percorso ufficiale di recupero. Quando cambia telefono, il supporto deve applicare la procedura concordata. Non chiedere codici personali e non rimuovere le protezioni senza le verifiche necessarie.

Verificare i permessi quando l’accesso riesce

Un’area vuota dopo il login è un caso diverso da un’autenticazione fallita. Controlla se l’account è associato all’azienda, al progetto o al contratto corretto e se il materiale è stato effettivamente pubblicato. Un documento in bozza può essere invisibile per scelta, mentre l’assistenza lo vede con un ruolo interno.

La guida OWASP all’autorizzazione (si apre in una nuova scheda) richiede controlli dei permessi sulle richieste. Fai verificare la regola dal lato del sistema: mostrare un pulsante o nasconderlo non basta a proteggere il documento. Non risolvere il problema assegnando privilegi generali a tutti i clienti.

Usa account e materiali di prova appartenenti a clienti distinti. Il documento corretto deve essere disponibile soltanto ai destinatari previsti, anche quando qualcuno dispone del collegamento diretto. Per esigenze di assistenza ricorrenti, organizza un ingresso chiaro al supporto clienti dal sito.

Esempio ipotetico: cambia il referente del cliente

Uno studio immaginario consegna documenti tramite un’area clienti. Il nuovo referente di un’azienda prova a entrare con la propria email, ma l’invito era stato inviato al collega precedente. Il recupero password mostra la risposta generica prevista e il nuovo referente segnala che non riceve messaggi.

L’assistenza raccoglie indirizzo e contesto, verifica con il responsabile autorizzato dell’azienda il cambio di referente e avvia la procedura corretta. Il nuovo account viene associato ai progetti previsti; l’accesso precedente viene gestito secondo le regole di revoca. Nessuno condivide la vecchia password.

Il tecnico prova infine che il nuovo referente veda i documenti assegnati e non quelli di altri clienti. L’esempio è ipotetico e mostra un problema organizzativo presentato come errore di login: modificare il modulo di accesso, da solo, non lo avrebbe risolto.

Chiudere la segnalazione con una verifica completa

Non fermarti al messaggio “ora entra”. Verifica, insieme al cliente quando necessario, che possa completare l’azione richiesta: consultare il documento, caricare un materiale o trovare una risposta. Registra causa, intervento ed esito senza conservare credenziali o copie inutili di dati riservati.

• Invito e attivazione completati sul recapito corretto.
• Recupero provato con link valido, scaduto e già utilizzato.
• Login utilizzabile da telefono, tastiera e gestore di password.
• Permessi corretti per account e risorse campione.
• Logout e nuovo accesso verificati.
• Percorso di assistenza comprensibile quando il problema ritorna.

Se la stessa causa ricorre, correggi istruzioni o processo e inserisci il controllo nella manutenzione del sito. Un’area clienti affidabile richiede un responsabile operativo oltre al referente tecnico.

Domande frequenti

L’email di recupero non arriva: significa che il sito non funziona?

Non necessariamente. Il recapito potrebbe non essere associato all’account, l’invio potrebbe fallire oppure il messaggio potrebbe non essere consegnato. Occorre verificare separatamente richiesta, stato dell’account, invio e ricezione, senza chiedere al cliente la password.

Il cliente entra ma non vede i documenti: deve cambiare password?

Di solito va verificato prima un problema di associazione o permessi. Controlla azienda, progetto e stato di pubblicazione dei materiali con il personale autorizzato. Cambiare password non assegna automaticamente i documenti mancanti.

Possiamo far usare lo stesso account a tutti i referenti del cliente?

È preferibile valutare accessi individuali con permessi appropriati, soprattutto quando serve distinguere azioni e responsabilità. Il cambio di referente e la revoca diventano più gestibili senza diffondere una credenziale condivisa fra più persone.