FedCM: API-интерфейс федерации удостоверений, сохраняющий конфиденциальность.

На этой странице объясняются преимущества FedCM, кому следует рассмотреть возможность внедрения FedCM и как пользователи взаимодействуют с FedCM .

Федеративное управление учетными данными (FedCM) — это ориентированный на конфиденциальность и удобный для пользователя подход к федеративным службам идентификации (таким как «Вход с помощью поставщика удостоверений» ), который не использует сторонние файлы cookie или навигационные перенаправления.

Благодаря FedCM пользователю предоставляется новый способ аутентификации с помощью стороннего поставщика удостоверений на веб-сайте.

Что такое федерация идентичности

Федерация удостоверений делегирует аутентификацию или авторизацию отдельного лица (пользователя или организации) доверенному внешнему поставщику удостоверений (IdP). Затем IdP позволяет лицу войти на веб-сайт проверяющей стороны (RP). При федерации удостоверений RP полагается на IdP, чтобы предоставить пользователю учетную запись без необходимости вводить новое имя пользователя и пароль.

Благодаря решениям федеративной идентификации пользователю не нужно создавать еще один набор учетных данных для каждого RP. Это улучшает пользовательский опыт, снижает вероятность фишинга и помогает RP получать проверенную информацию о пользователе от доверенных поставщиков идентификации.

Традиционные решения и сторонние файлы cookie

Традиционные механизмы федерации идентификации полагаются на iframes, перенаправления или сторонние файлы cookie, что вызывает проблемы с конфиденциальностью. Эти решения могут использоваться для отслеживания пользователей в Интернете, а браузеры не способны отличить законные службы идентификации от нежелательного наблюдения.

Учитывая проблемы конфиденциальности, основные браузеры ограничивают сторонние файлы cookie. Это может повлиять на некоторые функции. Благодаря усилиям сообщества и нашим исследованиям мы узнали, что есть несколько интеграций, связанных с федерацией идентификации, на которые влияют ограничения сторонних файлов cookie.

Федерация идентификации с FedCM

FedCM стремится обеспечить эти важные процессы аутентификации даже для пользователей, которые предпочитают просматривать веб-сайты с ограничением использования сторонних файлов cookie .

FedCM не зависит от протокола: его можно реализовать как автономное решение или как дополнительный уровень, который могут использовать различные протоколы. Например, функциональный сервер OAuth может воспользоваться преимуществами браузерного входа в систему одним касанием и интуитивно понятным пользовательским интерфейсом FedCM, внедрив конечные точки FedCM и заменив код авторизации, возвращаемый в ответе FedCM, на токен доступа OAuth.

Зачем нам нужен FedCM?

По сравнению с традиционными решениями он предлагает множество преимуществ для веб-экосистемы, разработанной с учетом потребностей пользователей, разработчиков RP и IdP.

Поддержка решений по идентификации без сторонних файлов cookie

FedCM может помочь снизить зависимость от сторонних файлов cookie, которые часто используются для отслеживания пользователей в Интернете. API предлагает персонализированный вход в систему даже для тех пользователей, которые предпочитают просматривать веб-страницы с ограниченными сторонними файлами cookie .

FedCM также интегрирован с другими API Privacy Sandbox. Например, API Storage Access использует аутентификацию FedCM в качестве сигнала доверия . Эта интеграция полезна для веб-сайтов, которые используют как FedCM для аутентификации, так и SAA для включения кросс-источниковых iframes для доступа к необходимому хранилищу.

Улучшенный пользовательский опыт

FedCM представляет диалоговое окно пользовательского интерфейса, опосредованное браузером, для упрощенного процесса входа в систему одним нажатием. API также решает проблему загроможденных страниц входа, иногда называемую проблемой NASCAR .

Вместо огромного количества кнопок входа через социальные сети FedCM предлагает более простой и удобный интерфейс .

Безопасность

Подход Federated Identity позволяет пользователям использовать доверенные учетные записи, управляемые IdP. При таком подходе пользователям не нужно добавлять учетные данные на каждый сайт. Это уменьшает поверхность для фишинговых атак. Кроме того, вместо внедрения собственных надежных мер безопасности RP могут положиться на опыт IdP, которые специализируются на безопасном управлении идентификацией.

FedCM стремится сделать федеративный поток идентификации еще более удобным для пользователей, побуждая их отдавать ему предпочтение по сравнению с менее безопасными потоками идентификации.

Персонализированный опыт для большего количества пользователей

FedCM снижает UX-трение во время процесса регистрации учетной записи. Исследования Google Identity Service показывают, что пользователи предпочитают создавать учетные записи с помощью потока One Tap FedCM, а не с помощью многошаговых вариантов входа.

С FedCM больше IdP могут предложить своим пользователям вход в систему одним нажатием. С большим количеством IdP, предлагающих поток идентификации одним нажатием, пользователи могут выбирать из более широкого списка IdP на RP. FedCM предоставляет улучшенный механизм выбора IdP, предоставляя пользователям наиболее релевантные учетные записи .

Благодаря более высоким показателям регистрации RP могут предложить персонализированный опыт большему количеству пользователей.

Поддержка различных поставщиков удостоверений

Упрощенный пользовательский интерфейс FedCM направлен на предоставление пользователям персонализированного списка соответствующих IdP . Благодаря механизму выбора IdP FedCM выбор IdP RP больше не ограничивается размером пользовательской базы IdP. Например, часть пользователей может иметь учетную запись только с small-idp.example , а не с bigger-idp.example .

С функцией Multi-IdP rp.example может поддерживать как small-idp.example , так и bigger-idp.example не загромождая пользовательский интерфейс. Это выгодно всем сторонам:

• Пользователи могут выбрать предпочитаемого ими поставщика удостоверений, независимо от его размера.
• RP охватывают больше пользователей за счет разнообразной поддержки IdP
• Провайдеры удостоверений с меньшей базой пользователей доступны на большем количестве RP.

Кому следует использовать FedCM?

Мы рассчитываем, что FedCM будет вам полезен только при соблюдении следующих условий:

• Ваша цель — поддерживать федеративные потоки идентификации даже для пользователей, которые предпочитают просмотр без сторонних файлов cookie.
• Вы — поставщик удостоверений (IdP) со сторонними RP. Если ваши RP — это осмысленно связанные сайты, вам может быть лучше использовать Related Website Sets .
• У вас есть собственное решение для идентификации и несколько доменов, использующих его.

Вы являетесь IdP

FedCM требует поддержки от поставщика удостоверений. Доверяющая сторона не может использовать FedCM самостоятельно. Если вы RP, вы можете попросить своего IdP предоставить инструкции.

Несколько RP

Если ваши RP являются сторонними или у вас более четырех RP, использующих ваше решение для идентификации, рекомендуемым API для федеративной идентификации является FedCM.

Если вы являетесь поставщиком удостоверений с числом до пяти RP, и RP имеют первичные отношения с IdP, рассмотрите возможность использования связанных наборов веб-сайтов (RWS) . RWS допускает ограниченный доступ к сторонним файлам cookie через наборы существенно связанных сайтов, даже если сторонние файлы cookie в противном случае ограничены.

Ваша цель — поддержка потока федерации идентификации без использования cookie-файлов

FedCM поддерживает основные федеративные потоки идентификации даже для пользователей, которые выбирают просмотр без сторонних файлов cookie. С FedCM пользователи по-прежнему могут регистрироваться, входить и выходить из своих федеративных учетных записей на RP.

Кроме того, FedCM служит сигналом доверия для API доступа к хранилищу, устраняя помехи для запросов на доступ к хранилищу, инициированных IdP.

Проверьте, продолжит ли работать ваша федерация идентификации для пользователей, которые предпочитают просматривать без сторонних файлов cookie, блокируя сторонние файлы cookie в Chrome . Обязательно протестируйте эти известные функции , на которые, как ожидается, повлияют ограничения сторонних файлов cookie.

Взаимодействие пользователя с FedCM

FedCM разработан как независимый от протокола аутентификации и предлагает пользователю новый поток для аутентификации в RP с сторонним IdP . Попробуйте FedCM с нашей демоверсией .

Войдите в систему как проверяющая сторона

Пользователи могут выбрать учетную запись из набора IdP, поддерживаемых RP. Если пользователь вошел в систему с несколькими IdP, ему будет предложено войти в RP, используя один из них.

Учетные записи пользователя отображаются в следующем порядке:

• Первыми отображаются учетные записи, к которым пользователь обращался на своем устройстве, причем первыми идут учетные записи, к которым он обращался последним.
• Далее показаны учетные записи, к которым пользователь получил доступ на RP в соответствии с IdP. Информация о том, к каким учетным записям был получен доступ, извлекается из значения свойства конечной точки учетной записи approved_clients .
• Учетные записи, которые ранее не использовались в RP, отображаются последними.

Если в пределах любого из этих уровней приоритета имеется несколько учетных записей, эти учетные записи дополнительно упорядочиваются на основе порядка IdP, предоставленного RP в вызове get() .

Режимы пользовательского интерфейса FedCM

FedCM имеет два режима пользовательского интерфейса: пассивный и активный .

Пассивный режим . Пассивный режим не требует взаимодействия с пользователем для появления запроса FedCM. Когда пользователь попадает на веб-сайт проверяющей стороны (RP), при вызове navigator.credentials.get() появится диалоговое окно входа в FedCM, если выполнены следующие условия:

• Пользователь вошел по крайней мере в один из поддерживаемых IdP. Если статус пользователя — «вышел из системы» для всех доступных IdP, запрос на вход в FedCM не отображается автоматически.
• Настройка времени восстановления FedCM не установлена ​​в браузере пользователя.
• Пользователь не отключил FedCM в настройках браузера . Узнайте больше о том, как пользователи могут отказаться от FedCM.

Активный режим . В активном режиме для запуска запроса FedCM требуется временная активация пользователя (например, нажатие кнопки «Войти с помощью… »).

Пользователь может завершить вход, нажав Continue as <user> . В случае успеха браузер сохраняет тот факт, что пользователь создал федеративную учетную запись на RP с IdP.

Если у пользователя нет учетной записи на RP у IdP, появится диалоговое окно регистрации с дополнительным текстом раскрытия информации, например условиями обслуживания и политикой конфиденциальности RP.

Соблюдение законов об электронной конфиденциальности

Использование FedCM, как в качестве IdP, так и в качестве RP, подразумевает хранение информации на терминальном оборудовании пользователя или доступ к информации, уже хранящейся на нем, и, следовательно, является деятельностью, подпадающей под действие законов об электронной конфиденциальности в Европейской экономической зоне (ЕЭЗ) и Великобритании, обычно требующих согласия пользователя. Вы несете ответственность за определение того, является ли использование вами FedCM строго необходимым для предоставления онлайн-услуги, явно запрошенной пользователем, и, следовательно, освобождено от требования согласия. Для получения дополнительной информации мы рекомендуем вам прочитать наши часто задаваемые вопросы о соответствии требованиям конфиденциальности Privacy Sandbox.

Зрение

Мы активно разрабатываем новые функции для устранения текущих ограничений и обеспечения лучшего пользовательского опыта.

• Мы изучаем более тихие UX-формулировки, чтобы обеспечить плавный, интуитивно понятный и менее навязчивый процесс аутентификации для пользователей.
• Мы нацелены на улучшение конфиденциальности пользователей. Мы планируем перейти на модель NextGen FedCM, ориентированную на делегирование, которая смягчает проблему отслеживания IdP. С NextGen пользователи могут входить в RP без отслеживания IdP за пользователем.
• FedCM стремится предоставить пользователям более широкий выбор IdP, основанный на выборе RP. Чтобы достичь этого, мы работаем над API Multi-IdP и IdP Registration.
• Мы активно работаем над интеграцией FedCM с другими методами аутентификации, такими как пароли, а также с дополнительными средствами, такими как автозаполнение, для внедрения унифицированного процесса аутентификации.

Более подробную информацию смотрите в нашей дорожной карте .

Следующие шаги

Настраивать

Подготовьте свою среду для тестирования и разработки решения для идентификации с помощью API FedCM.

Внедрить FedCM на стороне IdP

Узнайте, как реализовать решение для идентификации с помощью FedCM на стороне поставщика удостоверений.