Update FedCM: Uji coba origin untuk autentikasi ulang otomatis

Memperkenalkan beberapa update pada FedCM, termasuk uji coba origin baru untuk autentikasi ulang otomatis.

Federated Credential Management API (FedCM) adalah API web untuk federasi identitas yang menjaga privasi. Dengan federasi identitas, RP (pihak tepercaya) mengandalkan IdP (penyedia identitas) untuk memberi pengguna akun tanpa memerlukan nama pengguna dan sandi baru.

FedCM adalah API khusus yang memungkinkan browser memahami konteks tempat RP dan IdP bertukar informasi, memberi tahu pengguna tentang informasi dan tingkat hak istimewa yang dibagikan, serta mencegah penyalahgunaan yang tidak disengaja.

Pembaruan

Ada beberapa pembaruan pada penerapan FedCM Chrome:

• Untuk endpoint pernyataan ID, IdP perlu memeriksa header Origin (bukan header Referer) untuk melihat apakah nilai cocok dengan asal client ID.
• Flag Chrome chrome://flags/#fedcm-without-third-party-cookies baru ditambahkan. Dengan tanda ini, Anda dapat menguji fungsi FedCM di Chrome dengan memblokir cookie pihak ketiga.

Untuk semua update sebelumnya pada API, lihat Update Federated Credential Management API.

FedCM versi terbaru menyertakan fitur autentikasi ulang otomatis baru, yang memungkinkan autentikasi ulang pengguna secara otomatis saat mereka kembali setelah autentikasi awal menggunakan FedCM. Autentikasi ulang otomatis tersedia sebagai uji coba origin mulai Chrome 112.

Autentikasi ulang otomatis

Saat ini, setelah pengguna membuat akun gabungan di RP dengan IdP melalui FedCM, saat mereka mengunjungi situs lagi, mereka harus melalui langkah-langkah yang sama di antarmuka pengguna. Artinya, mereka harus mengonfirmasi dan mengautentikasi ulang secara eksplisit untuk melanjutkan alur login. Karena salah satu tujuan utama FedCM adalah mencegah pelacakan tersembunyi, pengalaman pengguna (UX) ini masuk akal sebelum pengguna membuat akun gabungan, tetapi menjadi tidak perlu dan merepotkan setelah pengguna melakukannya sekali. Setelah pengguna memberikan izin untuk mengizinkan komunikasi antara RP dan IdP,  tidak ada manfaat privasi atau keamanan untuk menerapkan konfirmasi pengguna eksplisit lainnya untuk sesuatu yang telah mereka setujui sebelumnya. Itulah sebabnya Chrome memperkenalkan UX yang lebih sederhana yang dapat dipilih RP untuk pengguna yang kembali.

Autentikasi ulang otomatis FedCM (singkatnya "autentikasi ulang otomatis") mengautentikasi ulang pengguna secara otomatis (jika RP ikut serta), saat mereka kembali setelah autentikasi awal menggunakan FedCM. "Autentikasi awal" di sini berarti pengguna membuat akun atau login ke situs RP dengan mengetuk tombol "Lanjutkan sebagai..." pada dialog login FedCM untuk pertama kalinya di instance browser yang sama.

RP dapat meminta otorisasi ulang otomatis dengan memanggil navigator.credentials.get() dengan autoReauthn: true.

const cred = await navigator.credentials.get({
  identity: {
    providers: [{
      configURL: "https://idp.example/fedcm.json",
      clientId: "1234",
    }],
    // NOTE: We are exploring different API options to expose this
    // functionality here:
    // https://github.com/fedidcg/FedCM/issues/429#issuecomment-1426358523
    // You should expect that, as a result of the origin trial, we'll
    // learn more from developers and browser vendors what works best here.
    autoReauthn: true, // default to false
  },
});

Dengan panggilan ini, autentikasi ulang otomatis terjadi dalam kondisi berikut:

• FedCM dapat digunakan. Misalnya, pengguna belum menonaktifkan FedCM secara global atau untuk RP.
• Pengguna hanya menggunakan satu akun FedCM untuk login ke situs di browser ini.
• Pengguna login ke IdP dengan akun tersebut.
• Otorisasi ulang otomatis tidak terjadi dalam 10 menit terakhir.

Jika kondisi di atas terpenuhi, upaya untuk mengautentikasi ulang pengguna secara otomatis akan dimulai segera setelah navigator.credentials.get() FedCM dipanggil.

Cobalah

Anda dapat mencoba autentikasi ulang otomatis FedCM secara lokal dengan mengaktifkan flag Chrome chrome://flags#fedcm-auto-re-authn di Chrome 112 atau yang lebih baru.

Untuk tujuan pengujian, Anda dapat mereset periode tenang 10 menit dengan menghapus data browser.

1. Buka chrome://history
2. Di kotak histori penelusuran, masukkan asal RP.
3. Klik ikon tiga titik ⋮, lalu pilih Hapus dari histori.
4. Mulai ulang Chrome.

Berpartisipasi dalam uji coba asal

Anda juga dapat mengaktifkan fitur ini di situs dengan bergabung ke uji coba origin pihak ketiga yang tersedia dari Chrome 112 hingga Chrome 114.

Uji coba origin memungkinkan Anda mencoba fitur baru dan memberikan masukan tentang kegunaan, kepraktisan, dan efektivitasnya kepada komunitas standar web. Untuk mengetahui informasi selengkapnya, lihat Panduan Uji Coba Origin untuk Developer Web. Untuk mendaftar ke uji coba origin ini atau lainnya, kunjungi halaman pendaftaran.

Untuk mendaftar asal pihak ketiga uji coba dan mengaktifkan fitur tersebut pada pihak ketiga:

1. Buka halaman pendaftaran uji coba origin.
2. Klik tombol Register lalu isi formulir untuk meminta token
3. Masukkan asal penayangan sebagai Web Origin.
4. Centang Pencocokan pihak ketiga untuk memasukkan token dengan JavaScript di origin lain.
5. Klik Kirim.
6. Sematkan token yang diterbitkan di pihak ketiga.

Untuk menyematkan token ke pihak ketiga, tambahkan kode berikut ke JavaScript Anda library atau SDK yang disalurkan dari asal situs yang terdaftar.

const tokenElement = document.createElement('meta');
tokenElement.httpEquiv = 'origin-trial';
tokenElement.content = 'TOKEN_GOES_HERE';
document.head.appendChild(tokenElement);

Ganti TOKEN_GOES_HERE dengan token Anda sendiri.

Berinteraksi dan memberikan masukan

Jika memiliki masukan atau mengalami masalah selama pengujian, Anda dapat membagikannya di crbug.com di bagian komponen Blink>Identity>FedCM.

Foto oleh Alex Perz di Unsplash