Een inschatting maken van een inlogfunctie

Verhalen over inloggen krijgen bijna nooit een 3, maar er is altijd wel iemand die een 3 geeft.

“Inlogfunctie toevoegen” lijkt een klein project, omdat iedereen in de kamer al eens eerder een inlogfunctie heeft geïmplementeerd, voor een ander product, waarbij toen al andere beslissingen waren genomen. De reikwijdte die u zich herinnert, is die van de vorige keer, niet de reikwijdte waarmee u nu aan de slag gaat. Het verhaal klinkt als een bekend verhaal, totdat iemand een van de onderstaande vragen stelt, en dan is dat ineens niet meer zo.

Het probleem is niet dat het inloggen moeilijk is. Het probleem is dat de discussie wordt afgerond voordat de afwegingen duidelijk worden. Backend-ontwikkelaars baseren zich op „we hebben hier een bibliotheek voor”. Productmanagers baseren zich op de schermafbeelding van het ideale scenario. Degene die het systeem onlangs daadwerkelijk heeft gebouwd, is degene die de valse consensus doorbreekt, meestal met een vraag die niet op het ticket stond.

Wat er in de kamer wordt gezegd

Backend: “Het is gewoon JWT, we beschikken over de bibliotheek.”

Beveiliging: “Het opnieuw instellen van een wachtwoord is niet ‘alleen maar JWT’.”

Premier: “Hebben wij vanaf de eerste dag tweefactorauthenticatie nodig, of is dat een volgende stap?”

Frontend: “Gaan we samenwerken met Google en Apple, of ontwikkelen we onze eigen oplossing?”

SRE: “Wat is de verwerkingslimiet voor het inlog-eindpunt?”

Vragen die het waard zijn om te stellen voordat u gaat stemmen

• Bestaat er een procedure voor het opnieuw instellen van wachtwoorden, en wie is verantwoordelijk voor het e-mailsjabloon?
• Gefederate identiteit (Google, Apple, SSO) of uitsluitend gebruikersnaam en wachtwoord?
• Sessieopslag: JWT, serversessie, beide, vernieuwingstokens?
• Rate limiting en accountvergrendeling op het inlog-eindpunt?
• Valt 2FA nu al onder het toepassingsgebied, of is er bewust gekozen voor „later“?
• Wordt er een logboek bijgehouden van mislukte pogingen?

De meeste van deze antwoorden zijn ofwel „triviaal“, ofwel „dat is een apart onderwerp“. Tel het tweede soort. Zijn er twee of meer, dan hebt u nog geen verhaal: u hebt een kandidaat voor opsplitsing, en de 3 waarvoor u op het punt stond te stemmen, meet het verkeerde.

Als uw team bij het inloggen met 3 stemmen stemt, heeft het gesprek nog niet plaatsgevonden. Stuur het dan terug.

In het artikel „Veelvoorkomende fouten bij Planning Poker” wordt besproken wat er tijdens de sessie mis kan gaan; in „Hoe een sessie te leiden” wordt de vierfasige cyclus beschreven. Bekijk de andere uitgewerkte schattingsvoorbeelden, of start een gratis Planning Poker-sessie en doorloop dit verhaal stap voor stap.