FedCM: Eine datenschutzfreundliche API für die Identitätsföderation

Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Auf dieser Seite werden die Vorteile von FedCM, die Nutzer, für die sich die Implementierung von FedCM eignet und wie Nutzer mit FedCM interagieren erläutert.

Federated Credential Management (FedCM) ist ein datenschutzorientierter und nutzerfreundlicher Ansatz für föderierte Identitätsdienste (z. B. Über Identitätsanbieter anmelden), der nicht auf Drittanbieter-Cookies oder Navigationsweiterleitungen angewiesen ist.

Mit FedCM haben Nutzer eine neue Möglichkeit, sich bei einem Drittanbieter-Identitätsanbieter auf einer Website zu authentifizieren.

Was ist die Identitätsföderation?

Bei der Identitätsföderation wird die Authentifizierung oder Autorisierung einer Person (Nutzer oder Entität) an einen vertrauenswürdigen externen Identitätsanbieter (IdP) delegiert. Der Identitätsanbieter erlaubt der Person dann, sich auf der Website einer vertrauenden Partei anzumelden. Bei der Identitätsfederation greift ein RP auf einen IdP zurück, um dem Nutzer ein Konto zur Verfügung zu stellen, ohne dass ein neuer Nutzername und ein neues Passwort erforderlich sind.

Bei Lösungen für föderierte Identitäten muss der Nutzer nicht für jede RP eine weitere Anmeldedatensammlung erstellen. Dies verbessert die Nutzerfreundlichkeit, reduziert das Risiko von Phishing und hilft dem RP, bestätigte Nutzerinformationen von vertrauenswürdigen Identitätsanbietern zu erhalten.

Traditionelle Lösungen und Drittanbieter-Cookies

Traditionelle Mechanismen zur Identitätsföderierung beruhen auf Iframes, Weiterleitungen oder Drittanbieter-Cookies, was Datenschutzbedenken aufwirft. Diese Lösungen können für das Tracking von Nutzern im Web genutzt werden und Browser können nicht zwischen legitimen Identitätsdiensten und unerwünschter Überwachung unterscheiden.

Aus Datenschutzgründen werden Drittanbieter-Cookies in den meisten Browsern eingeschränkt. Das kann sich auf einige Funktionen auswirken. Durch die Beiträge der Community und unsere Recherche haben wir festgestellt, dass einige Identitäts-Integrationen im Zusammenhang mit der Identitätsabgleichsfunktion von den Einschränkungen für Drittanbieter-Cookies betroffen sind.

Identitätsföderation mit FedCM

FedCM soll diese wichtigen Authentifizierungsabläufe auch für Nutzer ermöglichen, die das Surfen mit eingeschränkten Drittanbieter-Cookies ausgewählt haben.

FedCM ist protokollunabhängig: Es kann als eigenständige Lösung oder als zusätzliche Schicht implementiert werden, die von verschiedenen Protokollen genutzt werden kann. So kann beispielsweise ein funktionaler OAuth-Server von der browserbasierten Anmeldung mit nur einem Tippen und der intuitiven Benutzeroberfläche von FedCM profitieren, indem FedCM-Endpunkte implementiert und dann der Autorisierungscode, der in der FedCM-Antwort zurückgegeben wird, gegen ein OAuth-Zugriffstoken ausgetauscht wird.

Warum ist FedCM erforderlich?

Im Vergleich zu herkömmlichen Lösungen bietet es mehrere Vorteile für das Web-Ökosystem und wurde speziell für Nutzer, RPs und IdP-Entwickler entwickelt.

Unterstützung von Identitätslösungen ohne Drittanbieter-Cookies

FedCM kann dazu beitragen, die Abhängigkeit von Drittanbieter-Cookies zu reduzieren, die häufig zum Website-übergreifenden Tracking von Nutzern verwendet werden. Die API bietet eine personalisierte Anmeldung auch für Nutzer, die die Nutzung von Drittanbieter-Cookies einschränken.

FedCM ist auch in andere Privacy Sandbox APIs eingebunden. Die Storage Access API verwendet beispielsweise die FedCM-Authentifizierung als Vertrauenssignal. Diese Integration ist nützlich für Websites, die sowohl FedCM für die Authentifizierung als auch die SAA verwenden, um iframes verschiedener Herkunft den Zugriff auf den erforderlichen Speicher zu ermöglichen.

Verbesserte Nutzerfreundlichkeit

FedCM führt ein browserbasiertes UI-Dialogfeld für eine vereinfachte Anmeldung mit nur einem Tippen ein. Die API behebt auch das Problem überladener Anmeldeseiten, das manchmal als NASCAR-Problem bezeichnet wird.

Anstatt einer überwältigenden Anzahl von Schaltflächen für die Anmeldung über soziale Netzwerke bietet FedCM eine einfachere, nutzerfreundliche Oberfläche.

Sicherheit

Mit dem Ansatz der föderierten Identität können Nutzer vertrauenswürdige Konten verwenden, die von Identitätsanbietern verwaltet werden. Bei diesem Ansatz müssen Nutzer nicht für jede Website Anmeldedaten hinzufügen. So wird die Angriffsfläche für Phishing-Angriffe reduziert. Anstatt eigene robuste Sicherheitsmaßnahmen zu implementieren, können RPs außerdem auf die Expertise von IdPs zurückgreifen, die sich auf die sichere Identitätsverwaltung spezialisiert haben.

Mit FedCM soll der Ablauf für föderierte Identitäten für Nutzer noch einfacher werden, damit sie ihn weniger sicheren Identitätsabläufen vorziehen.

Personalisierte Inhalte für mehr Nutzer

FedCM reduziert die UX-Reibung während der Kontoregistrierung. Die Fallstudien des Google Identity Services zeigen, dass Nutzer Konten lieber mit dem One-Tap-Vorgang von FedCM als mit mehrstufigen Anmeldeoptionen erstellen.

Mit FedCM können mehr IdPs ihren Nutzern eine Anmeldung mit nur einem Tippen anbieten. Da immer mehr Identitätsanbieter einen Identitätsablauf mit nur einem Tipp anbieten, können Nutzer bei RPs aus einer größeren Auswahl an Identitätsanbietern wählen. FedCM bietet einen verbesserten Mechanismus zur Auswahl von Identitätsanbietern, da den Nutzern die wichtigsten Konten angezeigt werden.

Bei höheren Anmelderaten können RPs mehr Nutzern personalisierte Inhalte anbieten.

Unterstützung verschiedener Identitätsanbieter

Die vereinfachte Benutzeroberfläche von FedCM soll Nutzern eine personalisierte Liste der relevanten Identitätsanbieter anzeigen. Mit dem IdP-Auswahlmechanismus von FedCM ist die Auswahl der IdPs durch den RP nicht mehr von der Größe der Nutzerbasis des IdPs abhängig. Ein Teil der Nutzer hat beispielsweise möglicherweise nur ein Konto bei small-idp.example und nicht bei bigger-idp.example.

Mit der Multi-IdP-Funktion kann rp.example sowohl small-idp.example als auch bigger-idp.example unterstützen, ohne die Benutzeroberfläche zu überladen. Davon profitieren alle Beteiligten:

• Nutzer können ihren bevorzugten Identitätsanbieter auswählen, unabhängig davon, wie groß oder klein er ist.
• Mehr Nutzer durch Unterstützung verschiedener Identitätsanbieter erreichen
• IdPs mit einer kleineren Nutzerbasis sind bei mehr RPs verfügbar.

Für wen ist FedCM geeignet?

FedCM ist nur dann für Sie geeignet, wenn folgende Bedingungen erfüllt sind:

• Sie möchten die Abläufe für föderierte Identitäten auch für Nutzer unterstützen, die ohne Drittanbieter-Cookies surfen möchten.
• Sie sind ein Identitätsanbieter (IdP) mit RPs von Drittanbietern. Wenn Ihre RPs sinnvoll miteinander verknüpfte Websites sind, eignen sich Gruppen ähnlicher Websites möglicherweise besser für Sie.
• Sie haben eine eigene Identitätslösung und mehrere Domains, die darauf basieren.

Sie sind ein Identitätsanbieter

Für FedCM ist die Unterstützung eines Identitätsanbieters erforderlich. Eine vertrauende Partei kann FedCM nicht unabhängig verwenden. Wenn Sie ein RP sind, können Sie Ihren IdP um eine Anleitung bitten.

Mehrere RPs

Wenn Ihre RPs von Drittanbietern stammen oder Sie mehr als vier RPs haben, die Ihre Identitätslösung verwenden, ist FedCM die empfohlene API für föderierte Identitäten.

Wenn Sie ein Identitätsanbieter mit bis zu fünf RPs sind und die RPs eine direkte Beziehung zum IdP haben, sollten Sie Sets mit ähnlichen Websites verwenden. Mit RWS ist der Zugriff von Drittanbieter-Cookies auf mehrere ähnliche Websites eingeschränkt möglich, auch wenn Drittanbieter-Cookies anderweitig eingeschränkt sind.

Sie möchten den Ablauf der Identitätsföderation ohne Cookies unterstützen.

FedCM unterstützt wichtige Abläufe für föderierte Identitäten auch für Nutzer, die ohne Drittanbieter-Cookies surfen. Mit FedCM können sich Nutzer weiterhin mit ihren föderierten Konten bei RPs registrieren, anmelden und abmelden.

Außerdem dient FedCM als Vertrauenssignal für die Storage Access API, wodurch Probleme bei von Identitätsanbietern initiierten Anfragen für den Speicherzugriff vermieden werden.

Testen Sie, ob Ihre Identitätsfederation weiterhin für Nutzer funktioniert, die ohne Drittanbieter-Cookies surfen möchten, indem Sie Drittanbieter-Cookies in Chrome blockieren. Testen Sie unbedingt die bekannten Funktionen, auf die sich die Einschränkungen für Drittanbieter-Cookies voraussichtlich auswirken werden.

Nutzerinteraktionen mit FedCM

FedCM ist unabhängig vom Authentifizierungsprotokoll und bietet Nutzern einen neuen Ablauf, um sich bei einem RP mit einem externen Identitätsanbieter zu authentifizieren. Testen Sie FedCM mit unserer Demo.

Bei einer vertrauenden Seite anmelden

Nutzer können ein Konto aus einer Reihe von Identitätsanbietern auswählen, die vom RP unterstützt werden. Wenn der Nutzer mit mehreren IdPs angemeldet ist, wird er aufgefordert, sich über einen davon beim RP anzumelden.

Die Konten des Nutzers werden in der folgenden Reihenfolge angezeigt:

• Konten, auf die auf dem Gerät des Nutzers zugegriffen wurde, werden zuerst angezeigt, wobei die Konten mit den letzten Zugriffen an erster Stelle stehen.
• Als Nächstes werden Konten angezeigt, auf die der Nutzer laut dem Identitätsanbieter auf der RP zugegriffen hat. Die Informationen dazu, auf welche Konten zugegriffen wurde, werden aus dem Property-Wert approved_clients Kontoendpunkt extrahiert.
• Konten, die noch nie auf dem RP verwendet wurden, werden zuletzt angezeigt.

Wenn es in einer dieser Prioritätsebenen mehrere Konten gibt, werden diese Konten anhand der Reihenfolge der Identitätsanbieter sortiert, die der RP im get()-Aufruf angegeben hat.

FedCM-UI-Modi

FedCM hat zwei UI-Modi: Passiv und Aktiv.

Passiver Modus Im passiven Modus ist keine Nutzerinteraktion erforderlich, damit der FedCM-Prompt angezeigt wird. Wenn der Nutzer die Website der vertrauenden Partei (RP) aufruft, wird beim Aufrufen von navigator.credentials.get() ein FedCM-Anmeldedialogfeld angezeigt, wenn die folgenden Bedingungen erfüllt sind:

• Der Nutzer ist bei mindestens einem der unterstützten Identitätsanbieter angemeldet. Wenn der Nutzerstatus für alle verfügbaren Identitätsanbieter auf „Abgemeldet“ gesetzt ist, wird die Aufforderung zur FedCM-Anmeldung nicht automatisch angezeigt.
• Die FedCM-Ruhezeiteinstellung ist im Browser des Nutzers nicht festgelegt.
• Der Nutzer hat FedCM nicht in seinen Browsereinstellungen deaktiviert. Weitere Informationen dazu, wie Nutzer FedCM deaktivieren können

Aktiver Modus Im Aktivmodus ist eine vorübergehende Nutzeraktivierung (z. B. ein Klick auf die Schaltfläche Über… anmelden) erforderlich, um eine FedCM-Aufforderung auszulösen.

Der Nutzer kann die Anmeldung abschließen, indem er auf Als <Nutzer> fortfahren tippt. Bei Erfolg speichert der Browser, dass der Nutzer ein föderiertes Konto beim RP mit dem IdP erstellt hat.

Wenn der Nutzer kein Konto beim RP beim IdP hat, wird ein Anmeldedialogfeld mit zusätzlichen Offenlegungstexten wie den Nutzungsbedingungen und der Datenschutzerklärung des RP angezeigt.

.

Einhaltung der E‑Privacy-Gesetze

Die Verwendung von FedCM, entweder als Identitätsanbieter oder als Reseller, beinhaltet das Speichern von Informationen auf dem Endgerät eines Nutzers oder den Zugriff auf bereits dort gespeicherte Informationen. Daher unterliegt diese Aktivität den Gesetzen zum Schutz der Privatsphäre im Europäischen Wirtschaftsraum (EWR) und im Vereinigten Königreich, die in der Regel die Einwilligung des Nutzers erfordern. Sie müssen selbst entscheiden, ob die Verwendung von FedCM unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich angeforderten Onlinedienst bereitzustellen, und daher von der Einwilligungspflicht ausgenommen ist. Weitere Informationen finden Sie in den häufig gestellten Fragen zur Datenschutz-Compliance in der Privacy Sandbox.

Vision

Wir arbeiten aktiv an neuen Funktionen, um die aktuellen Einschränkungen zu beheben und die Nutzerfreundlichkeit zu verbessern.

• Wir arbeiten an einer unauffälligeren UX-Formulierung, um Nutzern einen reibungslosen, intuitiven und weniger aufdringlichen Authentifizierungsprozess zu ermöglichen.
• Wir arbeiten ständig daran, den Datenschutz für unsere Nutzer zu verbessern. Wir planen die Umstellung auf das delegierungsorientierte NextGen FedCM-Modell, mit dem das Problem des IdP-Trackings minimiert wird. Mit NextGen können sich Nutzer bei RPs anmelden, ohne dass der IdP den Nutzer verfolgt.
• FedCM soll Nutzern eine größere Auswahl an Identitätsanbietern bieten, je nach Auswahl der vertrauenden Partei. Dazu arbeiten wir an den APIs „Multi-IdP“ und „IdP Registration“.
• Wir arbeiten aktiv daran, FedCM in andere Authentifizierungsmethoden wie Passkeys und zusätzliche Mittel wie Autofill zu integrieren, um eine einheitliche Authentifizierung zu ermöglichen.

Weitere Informationen finden Sie in unserer Roadmap.

Nächste Schritte