Katılımcıya hesap değil, güvenli bir anahtar verin

Bir araştırma katılımcısından e-posta adresiyle hesap açmasını, şifre hatırlamasını ve bir kimlik sağlayıcısına kaydolmasını beklemek hem katılımı zorlaştırır hem de gereğinden fazla kişisel veri toplar. EnaResearch’te organizasyon kullanıcıları Logto ile giriş yapar; katılımcıların ise organizasyon hesabı yoktur. Katılımcı erişimi, araştırmacının verdiği kod ve aktivasyon kartıyla başlar.

Kod bir kullanıcı adı gibidir, şifre değildir. Bu yüzden kod tek başına giriş sağlamaz: web girişinde kodun yanında katılımcının aktivasyonda belirlediği PIN istenir, mobil uygulamada ise aktivasyon cihaza bağlı bir oturuma dönüşür.

Her kişinin aynı anda tek bir aktif katılımcı kodu vardır. Kod 6 karakterden oluşur, karışmaya açık harfleri dışarıda bırakan bir alfabeyle güvenli rastgele üretilir ve organizasyon genelinde veritabanı kısıtıyla tekildir. Kod sıralı değildir; bir koddan diğeri tahmin edilemez. İptal edilen bir kod bir daha kullanılmaz.

Okurken karışan karakterler düzeltilir: O harfi sıfır, I ve L harfleri bir olarak okunur. Araştırmacı kodu yenileyebilir veya iptal edebilir; her iki işlem de katılımcının tüm oturumlarını ve bekleyen aktivasyon anahtarlarını geçersiz kılar.

Araştırmacı yönetim panelinden katılımcı için bir aktivasyon kartı yazdırır. Kartta QR kod, organizasyon kodu, katılımcı kodu ve aktivasyon anahtarı bulunur; QR’ın ortasında organizasyonun yüklediği QR logosu yer alır. Ad, doğum tarihi veya kişi kimlik kodu gibi kimlik bilgisi kartta yer almaz. Aktivasyon anahtarı 12 karakterlidir, tek kullanımlıktır ve 14 gün geçerlidir; yeni bir anahtar üretildiğinde eskisi geçersiz olur. Anahtar ve QR yalnızca bir kez gösterilir.

Anahtar veritabanında yalnızca SHA-256 özetiyle tutulur. Aktivasyon bağlantısında anahtar adresin # parçasında taşınır; bu kısım sunucuya ve sunucu kayıtlarına gönderilmez ve sayfa okuduktan sonra adres çubuğundan silinir. Katılımcı aktivasyonda 6 haneli PIN’ini belirler.

Aktivasyon, kişinin tüm çalışmalarına açılan bir oturum başlatır. Bu yüzden kişi, araştırmacının ekibinde olmadığı başka bir çalışmada da aktifse anahtarı yalnızca organizasyon sahibi üretebilir; aynı kural kod yenileme ve iptal için de geçerlidir. İki çalışmanın da ekibinde olan araştırmacı bu işlemleri yapabilir.

Katılımcı web alanına girişte kod ve PIN istenir. PIN scrypt ile özetlenerek saklanır; 123456 gibi ardışık veya tek rakamdan oluşan PIN’ler kabul edilmez. Hatalı kod ile hatalı PIN aynı yanıtı alır ve bilinmeyen bir kodda da aynı hesaplama yapılır; böylece yanıt süresinden kodun varlığı anlaşılmaz.

Aynı IP adresinden kod başına 5 hatalı denemede 15 dakika, tüm adreslerden kod başına 50 hatalı denemede 24 saat kilit uygulanır; IP adresi başına saatte 30 hatalı deneme sınırı vardır. Kilit durumu için gereken servis çalışmıyorsa giriş açılmaz, kapalı kalır. Tüm denemeler erişim olarak denetim kaydına yazılır; katılımcı kodu, PIN ve oturum anahtarları kayda girmez.

Erişim anahtarı 1 saat geçerlidir; web oturumu 7 gün, mobil cihaz oturumu kullanıldıkça uzayan 90 gündür. Yenileme anahtarı her kullanımda değişir; kullanılmış bir anahtar tekrar gelirse oturum düşürülür. Anahtarlar veritabanında yalnızca SHA-256 özetiyle saklanır. Web’de anahtarlar yalnızca katılımcı alanının yoluna sınırlı, JavaScript’in okuyamadığı httpOnly ve SameSite=Strict çerezlerde tutulur.

Katılımcı web alanı (organizasyonun adresinde /p) katılımcının çalışmalarını, takma kodunu ve katılım durumunu, bağlı veri kaynaklarını ve son senkron zamanını, metrik başına son 7 günün günlük özetini, açık oturumları ve PIN değişikliğini gösterir. Tek tek ölçümler ve kimlik bilgisi gösterilmez. Katılımcı veya araştırmacı açık oturumları uzaktan sonlandırabilir; PIN değişikliği diğer oturumları kapatır.