Schätzung des Aufwands für eine Anmeldefunktion

So bewerten Sie eine Anmeldefunktion: der verborgene Umfang – Passwortzurücksetzung, 2FA, Föderation, Ratenbegrenzung, Sitzungen – und die Fragen, die geklärt werden müssen, bevor überhaupt abgestimmt wird.

Beiträge zum Thema „Login“ erhalten so gut wie nie die Note 3 – aber es gibt immer jemanden, der eine 3 vergibt.

„Anmeldung hinzufügen“ erscheint Ihnen unbedeutend, weil jeder im Raum bereits einmal eine Anmeldung implementiert hat – bei einem anderen Produkt, bei dem bereits andere Entscheidungen getroffen wurden. Der Umfang, an den Sie sich erinnern, ist der vom letzten Mal – nicht der Umfang, den Sie nun in Angriff nehmen werden. Die Situation scheint zunächst klar zu sein, bis jemand eine der folgenden Fragen stellt – und dann ist sie es doch nicht mehr.

Das Problem ist nicht, dass die Anmeldung schwierig ist. Das Problem ist vielmehr, dass die Diskussion endet, bevor die Vor- und Nachteile erkennbar sind. Backend-Entwickler verweisen darauf: „Wir haben eine Bibliothek dafür.“ Produktmanager stützen sich auf den Screenshot des Idealfalls. Wer das System in jüngster Zeit tatsächlich umgesetzt hat, ist derjenige, der diesen falschen Konsens durchbricht – meist mit einer Frage, die nicht im Ticket stand.

Was in dem Raum gesagt wird

Backend: „Es handelt sich lediglich um JWT, wir verfügen über die entsprechende Bibliothek.“

Sicherheit: „Das Zurücksetzen des Passworts ist nicht ‚nur JWT‘.“

PM: „Benötigen wir die Zwei-Faktor-Authentifizierung bereits am ersten Tag, oder ist das eine spätere Maßnahme?“

Frontend: „Schließen wir uns mit Google und Apple zusammen oder entwickeln wir eine eigene Lösung?“

SRE: „Wie hoch ist die Ratenbegrenzung für den Anmelde-Endpunkt?“

Fragen, die man sich vor der Stimmabgabe stellen sollte

  • Gibt es einen Ablauf für die Passwortzurücksetzung, und wer ist für die E-Mail-Vorlage verantwortlich?
  • Föderierte Identitätsverwaltung – Google, Apple, SSO – oder lediglich Benutzername und Passwort?
  • Sitzungsspeicherung: JWT, Server-Sitzung, beides, Refresh-Token?
  • Ratenbegrenzung und Kontosperrung am Anmelde-Endpunkt?
  • Gehört 2FA nun in den Geltungsbereich oder ist dies ein bewusstes „später“?
  • Protokollierung fehlgeschlagener Anmeldeversuche?

Die meisten dieser Antworten sind entweder „trivial“ oder „das ist ein eigenes Ticket“. Zählen Sie die zweite Art. Bei zwei oder mehr haben Sie noch keine Geschichte – Sie haben einen Kandidaten für splitting, und die 3, für die Sie gerade abstimmen wollten, messen das Falsche.

Falls Ihr Team bei der Anmeldung mit „3“ abstimmt, hat das Gespräch noch nicht stattgefunden. Senden Sie es bitte zurück.

Siehe auch: Häufige Fehler beim Planning Poker behandelt, was während einer Sitzung schiefgehen kann; So leiten Sie eine Sitzung beschreibt den Vier-Phasen-Zyklus. Sehen Sie sich die weiteren Beispiele für Schätzungen an oder starten Sie eine kostenlose Planning-Poker-Sitzung und arbeiten Sie diese Story dort durch.