جارٍ شحن واجهة برمجة التطبيقات الموحدة لإدارة بيانات الاعتماد

يتم شحن Federated Credential Management API (FedCM) في Chrome 108 (متوفّر حاليًا على القناة التجريبية). عند شحنها إلى إصدار Chrome الثابت في نهاية تشرين الثاني (نوفمبر) 2022، ستعمل في Chrome بدون الحاجة إلى وضع علامة أو رمز مميز لمرحلة التجربة والتقييم.

FedCM هي واجهة برمجة تطبيقات "مبادرة حماية الخصوصية" توفّر عمليات تجريد خاصة بحالات الاستخدام لتدفقات الهوية الموحّدة على الويب. يعرض "المراسلة عبر السحابة الإلكترونية من Firebase" مربّعات حوار مستندة إلى توسّط المتصفِّح والتي تسمح للمستخدمين باختيار حسابات من موفِّري الهوية لتسجيل الدخول إلى المواقع الإلكترونية.

راجِع آخر التغييرات في واجهة برمجة التطبيقات في صفحة التعديلات المجمّعة.

ونخطط لتقديم عدد من الميزات الجديدة استنادًا إلى الملاحظات التي تلقّيناها من موفّري الهوية (IdP) والأطراف المعتمدة (RP) ومورّدي المتصفّحات. نأمل أن يعتمد موفّرو الهوية برنامج FedCM، ولكن يُرجى العلم بأنّ FedCM لا تزال واجهة برمجة تطبيقات قيد التطوير النشط، ومن المتوقّع حدوث تغييرات غير متوافقة مع الإصدارات السابقة حتى الربع الرابع من عام 2023.

للحدّ من تحديات نشر التغييرات غير المتوافقة مع الإصدارات السابقة، نقدّم حاليًا اقتراحَين لموفّري الهوية:

  • اشترِك في النشرة الإخبارية للاطّلاع على آخر الأخبار والمعلومات المتعلّقة بتطور واجهة برمجة التطبيقات.
  • ننصح بشدة موفِّري الهوية بتوزيع واجهة برمجة التطبيقات FedCM API من خلال حِزم تطوير البرامج (SDK) لJavaScript أثناء مرحلة اكتمال واجهة برمجة التطبيقات، وتجنُّب تشجيع مطوّري البرامج المحظورة على الاستضافة الذاتية. سيضمن ذلك قدرة موفِّري الهوية على إجراء التغييرات مع تطوّر واجهة برمجة التطبيقات، بدون الحاجة إلى طلب إعادة النشر من جميع الجهات التي تعتمد على هذه الواجهة.

الخلفية

على مدار العِقد الماضي، لعب الاتحاد بدور مركزي في رفع معايير المصادقة على الويب من حيث الموثوقية وسهولة الاستخدام (على سبيل المثال، تسجيل الدخول الأحادي بدون كلمة مرور) والأمان (على سبيل المثال، المقاومة المحسَّنة للتصيّد الاحتيالي وهجمات ازدحام بيانات الاعتماد) مقارنةً بأسماء المستخدمين وكلمات المرور لكل موقع إلكتروني.

ولسوء الحظ، تتم إساءة استخدام الآليات التي اعتمد عليها نظام توحيد الهوية (إطارات iframe وعمليات إعادة التوجيه وملفات تعريف الارتباط) بشكل نشط لتتبُّع المستخدمين على الويب. بما أنّ وكيل المستخدم غير قادر على التفريق بين إنشاء اتحاد الهوية والتتبُّع، فإنّ إجراءات التخفيف من الأنواع المختلفة لإساءة الاستخدام تجعل نشر "اتحاد الهوية" أكثر صعوبة.

FedCM عبارة عن رحلة متعددة الخطوات لتحسين الهوية على الويب. وفي خطوته الأولى، نركّز على تقليل تأثير الإيقاف التدريجي لملفات تعريف الارتباط التابعة لجهات خارجية على الهوية الموحّدة (انظر أدناه لمعرفة الخطوات التالية).

مستخدم يوقّع على جهة محظورة باستخدام برنامج FedCM

يستخدم Chrome برنامج FedCM منذ إصدار Chrome 101.

شارك فريق خدمات Google Identity Services في مرحلة التجربة والتقييم وأثبتوا أنّ التبديل إلى عملية تسجيل دخول أكثر خصوصية وأمانًا لا يعتمد على ملفات تعريف الارتباط التابعة لجهات خارجية يمكن أن تتم بشفافية من خلال التحديثات المتوافقة مع الأنظمة القديمة في مكتبتهم الحالية. وقد أتاحت لهم هذه المؤسسة إمكانية FedCM عبر 20 مجموعة معتمَدة مختلفة وسجّل أكثر من 300 ألف مستخدم الدخول إليها أثناء تجارب المصدر. تعرَّف على مزيد من المعلومات حول طريقة التخطيط لإزالة اعتمادها على ملفات تعريف الارتباط التابعة لجهات خارجية.

نحن متحمسون للوصول إلى الكثير من النقاط المشتركة مع Mozilla، التي انخرطت بنشاط في مناقشات التصميم وبدأت في تطوير نماذج أولية لـ FedCM في Firefox. أشارت شركة Apple إلى دعمها العام للمواصفات وبدأت المشاركة في المناقشات على FedID CG.

الخطوات التالية

نحن نعمل على إجراء عدد من التغييرات على FedCM.

هناك بعض الأمور التي ندرك أنّها ما زالت بحاجة إلى تنفيذها، بما في ذلك المشاكل التي سمعناها من موفري الهوية والجهات المحظورة ومورّدي المتصفِّح. نعتقد أننا نعرف كيفية حل هذه المشكلات:

  • دعم إطارات iframe المتعددة المصادر: يمكن لموفِّري الهوية (IdP) الاتصال ببروتوكول FedCM من داخل إطار iframe من مصادر متعددة.
  • الزر المخصّص: يمكن لموفِّري الهوية (IdP) عرض هوية المستخدم المكرّر الزيارة على زر تسجيل الدخول من داخل إطار iframe متعدد المصادر.
  • نقطة نهاية المقاييس: تقدِّم مقاييس الأداء لموفِّري الهوية (IdP).

بالإضافة إلى ذلك، هناك بعض المشكلات التي لم يتم حلها والتي نستكشفها بشكل نشط، بما في ذلك الاقتراحات المحددة التي نقيّمها أو ننشئ نماذج أولية لها:

  • CORS: نجري نقاشًا مع Apple وMozilla لضمان تحسين مواصفات عمليات الجلب في FedCM.
  • واجهة برمجة التطبيقات متعددة لموفِّر الهوية (IdP): نستكشف طرقًا لإتاحة استخدام العديد من موفِّري الهوية (IdP) للتعاون بشكل تعاوني باستخدام أداة اختيار حسابات FedCM.
  • واجهة برمجة تطبيقات حالة تسجيل الدخول لموفِّر الهوية: رصدت Mozilla مشكلة في التوقيت، ونحن نستكشف طرقًا يمكن لموفِّر الهوية (IdP) من خلالها إبلاغ المتصفِّح بحالة تسجيل دخول المستخدم للحدّ من هذه المشكلة.
  • تسجيل الدخول إلى واجهة برمجة التطبيقات لموفِّر الهوية (IdP): لإتاحة سيناريوهات مختلفة، عندما لا يكون المستخدم مسجّلاً الدخول إلى موفِّر الهوية، يوفّر المتصفح واجهة مستخدم للمستخدم لتسجيل الدخول بدون مغادرة الجهة المحظورة.

في الختام، نرى أنّه ما زلنا بحاجة إلى تنفيذ بعض الإجراءات، وذلك استنادًا إلى الملاحظات التي تلقّيناها من Mozilla وApple وTAG. نحن نعمل على تقييم أفضل حل لهذه الأسئلة المفتوحة:

  • تحسين فهم المستخدمين وغرض المطابقة: كما أشارت Mozilla، نريد مواصلة استكشاف صيَغ ومجالات سطحية مختلفة لتجربة المستخدم، فضلاً عن المعايير اللازمة لبدء الاستكشاف.
  • سمات الهوية والإفصاح الانتقائي: كما ورد في مراجعي TAG، نودّ توفير آلية لمشاركة المزيد أو القليل من سمات الهوية بشكل انتقائي (مثل عناوين البريد الإلكتروني والفئات العمرية وأرقام الهواتف وما إلى ذلك).
  • تعزيز خصائص الخصوصية: كما اقترحت Mozilla هنا، نريد مواصلة استكشاف الآليات التي من شأنها تقديم ضمانات أفضل للخصوصية، مثل تجاهل موفر الهوية والمعرِّفات الموجّهة.
  • العلاقة مع WebAuthn: كما اقترحت Apple، نحن متحمسون للغاية لرؤية التقدّم الذي أحرزته مفاتيح المرور والعمل على توفير تجربة متّسقة ومتّسقة بين بروتوكول FedCM وكلمات المرور وWebAuthn وWebOTP.
  • حالة تسجيل الدخول: كما اقترحت Apple من خلال واجهة برمجة التطبيقات الخاصة بحالة تسجيل الدخول في Privacy CG، نشارك حدسًا بأنّ حالة تسجيل دخول المستخدم هي معلومات مفيدة يمكن أن تساعد المتصفّحات في اتخاذ قرارات مدروسة، ونحن متحمسون للاطّلاع على الفرص التي تنشأ عن ذلك.
  • الشركات والتعليم: كما هو واضح في FedID CG، لا تزال هناك الكثير من حالات الاستخدام التي لا يخدمها فريق FedCM بشكل جيد ونرغب في العمل عليها، مثل تسجيل الخروج من القناة الأمامية (إمكانية موفّر الهوية (IdP) إرسال إشارة إلى الجهات المحظورة لتسجيل الخروج) ودعم SAML.
  • العلاقة مع mDLs وVCs وغيرها: واصِل العمل على فهم مدى تناسب هذه البرامج مع FedCM، على سبيل المثال من خلال Mobile Document Request API.

المراجِع