วิธีที่ NHS England ปรับปรุงเวลาในการลงชื่อเข้าใช้และประหยัดเงินได้กว่า 1 ล้านปอนด์ด้วยพาสคีย์

Yu Tsuno

Darren Hutton

Pelin Dem

Published: July 10, 2026

ระบบบริการสุขภาพแห่งชาติ (NHS) เป็นระบบบริการสาธารณสุขที่ได้รับเงินสนับสนุนจากกองทุนสาธารณะของสหราชอาณาจักร ในฐานะผู้ให้บริการข้อมูลประจำตัวดิจิทัลที่ปลอดภัยสำหรับ NHS England และ NHS Wales NHS login ช่วยให้ประชาชนหลายสิบล้านคนเข้าถึงบริการด้านสุขภาพและสังคม สงเคราะห์ได้อย่างง่ายดายและเชื่อถือได้ ด้วยฐานผู้ใช้ขนาดนี้และข้อมูลที่ละเอียดอ่อนเช่นนี้ การเสียดสีในการตรวจสอบสิทธิ์และความปลอดภัยจึงมีความสำคัญอย่างยิ่ง

ทีม NHS ได้ร่วมงานกับ Hippo ซึ่งเป็นพาร์ทเนอร์ด้านบริการดิจิทัลเพื่อติดตั้งใช้งานพาสคีย์ Hippo เป็นผู้ขับเคลื่อนการวิจัย UX และการผสานรวมทางเทคนิคของพาสคีย์ ซึ่งส่งผลให้ผู้ใช้เข้าถึงได้เร็วขึ้น ง่ายขึ้น และปลอดภัยมากขึ้น รวมถึงลดต้นทุนด้านการสนับสนุนและการดำเนินงานได้อย่างมาก

ผลลัพธ์หลัก

• ลดเวลาในการลงชื่อเข้าใช้: ผู้ใช้ตรวจสอบสิทธิ์ได้เร็วขึ้น 8 เท่าเมื่อใช้พาสคีย์ เวลาเฉลี่ยในการลงชื่อเข้าใช้ลดลงจาก 43 วินาที (รหัสผ่าน + OTP ทาง SMS) เหลือเพียง 5 วินาทีเมื่อใช้ UI แบบมีเงื่อนไข
• การนำไปใช้และการขยายขนาดสูง: ผู้ใช้สร้างพาสคีย์ 6.7 ล้านรายการนับตั้งแต่เปิดตัว ฟีเจอร์นี้เมื่อ 2 ปีที่แล้ว ซึ่งทำให้มีการลงชื่อเข้าใช้ด้วยพาสคีย์ 6 ล้านครั้งทุก เดือน
• ลดต้นทุนในการทำธุรกรรม: ประหยัดค่าใช้จ่าย OTP ได้ถึง 1.2 ล้านปอนด์ นับตั้งแต่ เปิดตัว

การเสียดสี ต้นทุน และความเบื่อหน่ายในการใช้รหัสผ่าน

การเข้าสู่ระบบ NHS ทำหน้าที่เป็นเกตเวย์ดิจิทัลแบบรวมศูนย์สำหรับผู้ใช้ที่เข้าถึงบริการด้านสุขภาพต่างๆ แพลตฟอร์มนี้ยังคงรองรับวิธีการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ที่ใช้รหัสผ่านและ SMS เพื่อให้มั่นใจว่าผู้ใช้ทุกคนจะได้รับความสะดวก อย่างไรก็ตาม วิธีการเหล่านี้มีข้อจำกัดในระบบดังนี้

• การลืมรหัสผ่าน: ผู้ใช้ถูกล็อกไม่ให้เข้าถึงบริการด้านสุขภาพบ่อยครั้ง เนื่องจากลืมรหัสผ่าน
• ความเสี่ยงด้านความปลอดภัย: รหัสผ่านและรหัส SMS ยังคงเสี่ยงต่อการโจมตีแบบฟิชชิง
• ต้นทุนที่เพิ่มขึ้น: การส่งข้อความ SMS หลายล้านข้อความเพื่อการยืนยันแบบ 2 ขั้นตอน ต้องใช้เงินจำนวนมาก
• อุปสรรคด้านการไม่แบ่งแยก: การใช้ SMS กำหนดให้ผู้ใช้ต้องมีโทรศัพท์มือถือ ที่มีสัญญาณที่เสถียร ซึ่งอาจเป็นอุปสรรคสำหรับผู้ใช้บางราย

วิธีที่ NHS และ Hippo ติดตั้งใช้งานพาสคีย์

แนวทางของทีมมุ่งเน้นที่ผู้ใช้และทำซ้ำ โดยเน้นที่การผสานรวมพาสคีย์เป็นวิธีการตรวจสอบสิทธิ์ใหม่ที่เลือกได้แทนที่จะบังคับให้เปลี่ยน ซึ่งช่วยให้มีการนำไปใช้ทีละน้อยและได้รับความคิดเห็นจากผู้ใช้จริง

ทีมมุ่งเน้นที่โฟลว์หลัก 2 รายการของนักพัฒนาซอฟต์แวร์ภายในแพลตฟอร์มที่มีอยู่ ได้แก่ การลงทะเบียนและการตรวจสอบสิทธิ์ด้วยพาสคีย์

อัปเกรดผู้ใช้ผ่านการลงทะเบียนพาสคีย์ที่ราบรื่น

ทีมกำหนดเป้าหมายไปที่ผู้ใช้ที่ใช้งานอยู่และผ่านการตรวจสอบสิทธิ์แล้วแทนที่จะบังคับให้ผู้ใช้ทุกคนลงทะเบียนพาสคีย์ทันที หลังจากที่ผู้ใช้ลงชื่อเข้าใช้สำเร็จโดยใช้วิธีมาตรฐาน (รหัสผ่าน + SMS) ผู้ใช้จะเห็นข้อความที่ชัดเจนซึ่งเชิญชวนให้สร้างพาสคีย์เพื่อการลงชื่อเข้าใช้ที่เร็วขึ้นและปลอดภัยมากขึ้นในอนาคต

ความท้าทายที่ใหญ่ที่สุดของเราคือการหาสมดุลที่เหมาะสมระหว่างการให้ความรู้และการสนับสนุนผู้ใช้ ยิ่งเราพยายามอธิบายพาสคีย์มากเท่าไร ผู้ใช้ก็ยิ่งลังเลมากขึ้นเท่านั้น เราจึงเปลี่ยนไปใช้ประสบการณ์ที่เน้นอุปกรณ์โดยใช้คำที่คุ้นเคย เช่น "ลายนิ้วมือ" และ "Face ID" ผู้ใช้เข้าใจแนวคิดได้เร็วขึ้นมากเมื่อได้ลองใช้

Pelin Demir, นักออกแบบ UX ที่ Hippo

โฟลว์การลงทะเบียนใช้ WebAuthn API ที่มีอยู่ในเบราว์เซอร์มาตรฐาน ต่อไปนี้เป็นตัวอย่างแนวคิดของลำดับการลงทะเบียน

// Simplified example of the registration call
async function createPasskey() {
  try {
    // 1. Fetch challenge and options from the NHS Login server
    const createOptions = await fetch('/api/passkey/register-options', {
      method: 'POST'
    }).then(r => r.json());

    // 2. Trigger the browser/OS to create the passkey
    const credential = await navigator.credentials.create({
      publicKey: createOptions
    });

    // 3. Send the public key credential back to the server for verification and storage
    await fetch('/api/passkey/register-verify', {
      method: 'POST',
      body: JSON.stringify(credential)
    });

    // 4. Show success message to the user
    showSuccess('Passkey saved');

  } catch (err) {
    console.error('Error creating passkey:', err);
    showError('Could not create passkey. Please try again.');
  }
}

ปรับปรุงโฟลว์การเข้าสู่ระบบโดยใช้ UI แบบมีเงื่อนไข

การปรับปรุงประสบการณ์ของผู้ใช้ที่สำคัญที่สุดมาจากการใช้ UI แบบมีเงื่อนไข (การป้อนข้อความอัตโนมัติของ WebAuthn) การเพิ่ม autocomplete="username webauthn" ลงในช่องเข้าสู่ระบบ จะทำให้เบราว์เซอร์แจ้งให้ผู้ใช้ตรวจสอบสิทธิ์โดยใช้ข้อมูลไบโอเมตริก อย่างกระตือรือร้น

<form action="/login" method="post">
  <label for="username">Email or NHS number</label>
  <input type="text"
         id="username"
         name="username"
         autocomplete="username webauthn"
         required>
  <button type="submit">Continue</button>
</form>

การใช้ UI แบบมีเงื่อนไขทำให้การใช้พาสคีย์เพิ่มขึ้นเกือบ 1.7 เท่า ซึ่งแสดงให้เห็นว่าการลดการเสียดสีในการป้อนข้อมูลจะช่วยเร่งการนำไปใช้โดยตรง

จัดการคีย์ที่ล้าสมัยด้วย Signal API

ความท้าทายด้านการดำเนินงานที่ทราบกันดีเกี่ยวกับพาสคีย์คือ ข้อมูลเข้าสู่ระบบที่ล้าสมัย ซึ่งเป็นกรณีที่ผู้ใช้นำข้อมูลเข้าสู่ระบบออกจากค่ากำหนดบัญชี แต่พาสคีย์ยังคงจัดเก็บอยู่ในเครื่องมือจัดการรหัสผ่านของอุปกรณ์ การพยายามใช้คีย์ที่ล้าสมัยจะทำให้การตรวจสอบสิทธิ์ล้มเหลวอย่างน่าสับสน

ทีมจึงได้รวม WebAuthn Signal API เข้าไว้ด้วยกัน เมื่อมีการเพิกถอนหรืออัปเดตข้อมูลเข้าสู่ระบบในแบ็กเอนด์ เซิร์ฟเวอร์จะส่งสัญญาณไปยังผู้ให้บริการพาสคีย์เพื่อซิงค์ข้อมูล ซึ่งจะนำคีย์ที่ไม่ถูกต้องออกจากการแนะนำการป้อนข้อความอัตโนมัติของผู้ใช้อย่างราบรื่น

มอบการเข้าถึงที่ราบรื่นและความปลอดภัยที่เพิ่มขึ้น

ผู้ใช้หันมาใช้พาสคีย์เป็นกลไกการตรวจสอบสิทธิ์มากขึ้น

• ประสบการณ์ของผู้ใช้ที่ราบรื่น: การลดการเสียดสีในการตรวจสอบสิทธิ์หมายความว่า ผู้ใช้จะเข้าถึงบริการของ NHS และจัดการสุขภาพของตนเองได้อย่างกระตือรือร้น โดยไม่ต้อง หงุดหงิดหรือเลิกใช้บริการเนื่องจากลืมข้อมูลเข้าสู่ระบบ
• ความปลอดภัยที่สมบูรณ์: พาสคีย์มีความสามารถในการป้องกันฟิชชิงในตัว ซึ่งช่วยรักษาความปลอดภัยของข้อมูลด้านสุขภาพที่ละเอียดอ่อนอย่างยิ่ง พร้อมทั้งปูทางสู่อนาคตที่ไม่มีรหัสผ่าน และ SMS
• ประสิทธิภาพการดำเนินงาน: นอกเหนือจากการประหยัดค่าใช้จ่าย OTP ทาง SMS โดยตรงแล้ว การลดการพึ่งพารหัสผ่านยังช่วยปรับปรุงประสิทธิภาพของ NHS ได้อย่างมาก การโทรติดต่อขอความช่วยเหลือที่เกี่ยวข้องกับรหัสผ่านที่ลดลงช่วยให้เจ้าหน้าที่สามารถจัดการคำถามที่ซับซ้อนมากขึ้นได้

บทเรียนสำคัญ

ขณะผสานรวมพาสคีย์ในบริการต่างๆ ของ NHS ทีมได้ระบุบทเรียนสำคัญต่อไปนี้

• UX สำคัญกว่าความซับซ้อนทางเทคนิค: การติดตั้งใช้งานทางเทคนิคของ WebAuthn นั้นตรงไปตรงมา ความท้าทายหลักอยู่ที่การเพิ่มประสิทธิภาพ UX เพื่อให้ผู้ใช้ในวงกว้างนำไปใช้
• การสนับสนุนสำคัญกว่าการให้ความรู้: ผู้ใช้คาดหวังให้แพลตฟอร์มจัดการความปลอดภัย อย่างเงียบๆ การอธิบายกลไกการทำงานของพาสคีย์มากเกินไปทำให้เกิดภาระทางความคิด การเชื่อมั่นในข้อความแจ้งของอุปกรณ์ที่คุ้นเคย (ข้อมูลไบโอเมตริก) จึงมีประสิทธิภาพมากกว่ามาก
• การเดินทางข้ามอุปกรณ์: ผู้ใช้อาจสร้างพาสคีย์ในโทรศัพท์ แต่ ต่อมาพยายามลงชื่อเข้าใช้ในคอมพิวเตอร์ของห้องสมุด การจัดการโฟลว์ข้ามอุปกรณ์ (ที่เดสก์ท็อปแสดงคิวอาร์โค้ดที่โทรศัพท์สแกน) เป็นการเดินทางที่สำคัญที่ต้องออกแบบและทดสอบ นอกจากนี้ ทีมยังได้เพิ่มส่วนใหม่ในการจัดการบัญชีของผู้ใช้ที่แสดงพาสคีย์และข้อมูลประจำตัวเพื่อช่วยในการจัดการพาสคีย์ (ดูระบุผู้ให้บริการพาสคีย์ด้วย AAGUID)
• การกู้คืนบัญชี: พาสคีย์ไม่ได้ช่วยลดความจำเป็นในการกู้คืนบัญชีที่มีประสิทธิภาพ ทีมต้องตรวจสอบว่าผู้ใช้ที่ทำอุปกรณ์หายจะยังคงกู้คืนสิทธิ์เข้าถึงบัญชีของตนเองได้อย่างปลอดภัย ซึ่งเป็นโฟลว์ที่มีความเสี่ยงสูงสำหรับบริการที่เกี่ยวข้องกับสุขภาพ
• การสร้างสมดุลระหว่างนวัตกรรมและการไม่แบ่งแยก: แม้ว่าพาสคีย์จะมอบประสบการณ์ที่เหนือกว่า แต่ก็ไม่สามารถแทนที่ระบบเดิมได้อย่างสมบูรณ์ในชั่วข้ามคืนโดยไม่ ทิ้งผู้ใช้ที่เสี่ยงไว้เบื้องหลัง ทีมจึงตั้งใจคงรหัสผ่าน + OTP ทาง SMS ไว้เป็นเส้นทางคู่ขนาน โดยยอมรับค่าใช้จ่ายที่เกิดขึ้นเพื่อให้แน่ใจว่าจะไม่มีผู้ใช้ถูกตัดออกเนื่องจากข้อกำหนดของอุปกรณ์หรือการครอบคลุมเครือข่ายไม่ดี

ขั้นตอนต่อไปคืออะไร

Hippo ได้สร้างพาสคีย์ไปแล้วกว่า 6.7 ล้านรายการ และตอนนี้กำลังปรับปรุงข้อความแจ้งที่เชิญชวนให้ผู้ใช้สร้างพาสคีย์ แทนที่จะบังคับให้เปลี่ยน ทีมใช้การทดสอบเพื่อหาช่วงเวลาที่ดีที่สุดในการเสนอพาสคีย์ ซึ่งจะช่วยให้ผู้ใช้จำนวนมากขึ้นอัปเกรดได้อย่างราบรื่น

ดูข้อมูลเพิ่มเติม

• คู่มือ WebAuthn API
• รายการตรวจสอบการติดตั้งใช้งานพาสคีย์
• ทำให้พาสคีย์สอดคล้องกับ Signal API