בדף הזה מוסבר על היתרונות של FedCM, על הגורמים שכדאי להם להטמיע את FedCM ועל אופן האינטראקציה של המשתמשים עם FedCM.
ניהול מאוחד של פרטי כניסה (FedCM) הוא גישה שמתמקדת בפרטיות ונוחה למשתמש לשירותי אימות זהות מאוחדים (כמו כניסה באמצעות ספק זהויות), שלא מסתמכת על קובצי cookie של צד שלישי או על הפניות אוטומטיות לניווט.
בעזרת FedCM, המשתמש מקבל דרך חדשה לאימות באתר באמצעות ספק זהויות של צד שלישי.
מהו איחוד שירותי אימות הזהות
איחוד שירותי אימות הזהות מעביר את תהליך האימות או ההרשאה של אדם פרטי (משתמש או ישות) לספק זהויות (IdP) חיצוני מהימן. לאחר מכן, ה-IdP מאפשר לאדם להיכנס לאתר של צד נסמך (RP). באיחוד שירותי אימות הזהות, ה-RP מסתמך על IdP כדי לספק למשתמש חשבון בלי לדרוש שם משתמש וסיסמה חדשים.
בפתרונות איחוד זהויות, המשתמש לא צריך ליצור קבוצה נוספת של פרטי כניסה לכל RP. כך אפשר לשפר את חוויית המשתמש, לצמצם את הסיכונים להתקפות פישינג ולקבל מידע מאומת על המשתמשים מספקי זהויות מהימנים.
פתרונות מסורתיים וקובצי cookie של צד שלישי
מנגנונים מסורתיים לאיחוד זהויות מסתמכים על iframe, הפניות אוטומטיות או קובצי cookie של צד שלישי, מה שעלול לגרום לבעיות פרטיות. אפשר לנצל את הפתרונות האלה למעקב אחר משתמשים באינטרנט, והדפדפנים לא יכולים להבדיל בין שירותי זהות חוקיים לבין מעקב לא רצוי.
מתוך מחשבה על חששות הפרטיות, בדפדפנים העיקריים הוגבלו קובצי cookie של צד שלישי. יכול להיות שחלק מהפונקציות יושפעו מכך. בעזרת המאמצים של הקהילה והמחקר שלנו, גילינו שיש כמה שילובים שקשורים לאיחוד שירותי אימות הזהות שמושפעים מההגבלות על קובצי cookie של צד שלישי.
איחוד שירותי אימות הזהות באמצעות FedCM
מטרת FedCM היא לאפשר את תהליכי האימות החיוניים האלה גם למשתמשים שבוחרים לגלוש עם הגבלה על קובצי cookie של צד שלישי.
FedCM הוא פתרון ללא תלות בפרוטוקול: אפשר להטמיע אותו כפתרון עצמאי או שכבה נוספת שפרוטוקולים שונים יכולים להפיק ממנה תועלת. לדוגמה, שרת OAuth פונקציונלי יכול ליהנות מחוויית הכניסה בנגיעה אחת דרך הדפדפן ומממשק המשתמש האינטואיטיבי של FedCM, על ידי הטמעת נקודות קצה של FedCM ואז החלפה של קוד ההרשאה שחוזרת בתגובה של FedCM באסימון גישה מסוג OAuth.
למה אנחנו צריכים את FedCM?
בהשוואה לפתרונות מסורתיים, הוא מציע יתרונות רבים לסביבת האינטרנט, תוך התמקדות במשתמש, במפתחים של RP ובמפתחים של IdP.
תמיכה בפתרונות לזיהוי ללא קובצי cookie של צד שלישי
FedCM יכול לעזור לצמצם את התלות בקובצי cookie של צד שלישי, שבדרך כלל משמשים למעקב אחרי משתמשים באינטרנט. ה-API מספק חוויית כניסה מותאמת אישית גם למשתמשים שבוחרים לגלוש עם הגבלה על קובצי cookie של צד שלישי.
FedCM משולב גם עם ממשקי API אחרים של ארגז החול לפרטיות. לדוגמה, ב-Storage Access API נעשה שימוש באימות FedCM בתור אות אמון. השילוב הזה שימושי לאתרים שמסתמכים גם על FedCM לאימות וגם על SAA כדי לאפשר ל-iframes ממקורות שונים לגשת לאחסון הנדרש.
חוויית משתמש משופרת
ב-FedCM יש תיבת דו-שיח של ממשק משתמש שמתווך על ידי הדפדפן, שמאפשרת תהליך כניסה פשוט בלחיצה אחת. ה-API גם פותר את הבעיה של דפי כניסה עמוסי פרטים, שנקראת לפעמים בעיית NASCAR.
במקום מספר עצום של לחצני כניסה ברשתות חברתיות, FedCM מספק ממשק פשוט יותר ונוח יותר למשתמש.
אבטחה
הגישה של איחוד הזהויות מאפשרת למשתמשים להשתמש בחשבונות מהימנים שמנוהלים על ידי ספקי IdP. הגישה הזו מאפשרת למשתמשים לא להוסיף פרטי כניסה לכל אתר. כך מקטינים את שטח ההתקפה להתקפות פישינג. בנוסף, במקום להטמיע אמצעי אבטחה חזקים משלהם, ספקי ה-RP יכולים להסתמך על המומחיות של ספקי ה-IdP שמתמחים בניהול זהויות מאובטח.
המטרה של FedCM היא להפוך את תהליך אימות הזהות המאוחד לנוח יותר למשתמשים, כדי לעודד אותם להעדיף אותו על פני תהליכי אימות זהות פחות מאובטחים.
חוויית משתמש מותאמת אישית ליותר משתמשים
FedCM מפחית את החיכוך בתהליך הרשמה לחשבון. מחקרי המקרה של Google Identity Services מראים שהמשתמשים מעדיפים ליצור חשבונות באמצעות תהליך One Tap של FedCM על פני אפשרויות כניסה בכמה שלבים.
בעזרת FedCM, יותר ספקי IdP יכולים להציע למשתמשים שלהם חוויית כניסה בלחיצה אחת. ככל שיהיו יותר ספקי IdP שמציעים תהליך אימות זהות בלחיצה אחת, המשתמשים יוכלו לבחור מתוך מבחר רחב יותר של ספקי IdP ב-RP. FedCM מספק מנגנון משופר לבחירת IdP, על ידי הצגת החשבונות הרלוונטיים ביותר למשתמשים.
כאשר שיעורי ההרשמה גבוהים יותר, בעלי אפליקציות יכולים להציע חוויה מותאמת אישית ליותר משתמשים.
תמיכה בספקים שונים של שירותי אימות הזהות
ממשק המשתמש הפשוט של FedCM נועד להציג למשתמשים רשימה מותאמת אישית של IdP הרלוונטיים.
בעזרת מנגנון הבחירה של FedCM ל-IdP, הבחירה של RP ב-IdPs כבר לא מוגבלת לפי גודל בסיס המשתמשים של ה-IdP. לדוגמה, יכול להיות שלחלק מהמשתמשים יש חשבון רק ב-small-idp.example ולא ב-bigger-idp.example.
בעזרת התכונה Multi-IdP, אפשר להשתמש ב-rp.example עם small-idp.example וגם עם bigger-idp.example בלי להעמיס על ממשק המשתמש. כל הצדדים נהנים מהיתרונות האלה:
- המשתמשים יכולים לבחור את ספק ה-IdP המועדף עליהם, לא משנה אם הוא גדול או קטן.
- ספקי RP יכולים להגיע ליותר משתמשים באמצעות תמיכה במגוון ספקי IdP
- ספקי IdP עם בסיס משתמשים קטן יותר זמינים ב-RP נוספים.
למי כדאי להשתמש ב-FedCM?
אנחנו צופים ש-FedCM יועיל לכם רק אם התנאים הבאים רלוונטיים לכם:
- אתם רוצים לתמוך בתהליכי אימות זהות מאוחדים גם למשתמשים שבוחרים לגלוש בלי קובצי Cookie של צד שלישי.
- אתם ספק זהויות (IdP) עם גורמים מצד שלישי שמשתמשים ב-RP. אם ה-RPs הם אתרים שקשורים באופן משמעותי לאתר שלכם, מומלץ להשתמש בקבוצות של אתרים קשורים.
- יש לכם פתרון משלכם לניהול זהויות, ומספר דומיינים מסתמכים עליו.
אתם ספקי אימות הזהות (IdP)
כדי להשתמש ב-FedCM, צריך תמיכה מספק זהויות. צד נסמך לא יכול להשתמש ב-FedCM באופן עצמאי. אם אתם ספקי RP, תוכלו לבקש מה-IdP שלכם לשלוח הוראות.
מספר גורמים מוגבלים
אם ספקי ה-RP הם צד שלישי, או אם יש לכם יותר מארבעה ספקי RP שמשתמשים בפתרון הזהויות שלכם, FedCM הוא ה-API המומלץ לזהות מאוחדת.
אם אתם ספק זהויות עם עד חמישה ספקי RP, ויש לספקי ה-RP קשר ישיר ל-IdP, מומלץ להשתמש בקבוצות של אתרים קשורים (RWS). RWS מאפשר גישה מוגבלת לקובצי cookie של צד שלישי בקבוצות של אתרים קשורים באופן משמעותי, גם אם קובצי ה-cookie של הצד השלישי מוגבלים בדרכים אחרות.
אתם רוצים לתמוך בתהליך איחוד שירותי אימות הזהות ללא שימוש בקובצי cookie
FedCM תומך בתהליכים חיוניים של זהויות מאוחדות, גם למשתמשים שבוחרים לגלוש בלי קובצי cookie של צד שלישי. בעזרת FedCM, המשתמשים עדיין יכולים להירשם, להיכנס ולצאת באמצעות החשבונות המאוחדים שלהם ב-RPs.
בנוסף, FedCM משמש כאות אמון ל-Storage Access API, ומבטל את החיכוך בבקשות של IdP לגישה לאחסון.
כדי לבדוק אם איחוד שירותי אימות הזהות ימשיך לפעול למשתמשים שבוחרים לגלוש בלי קובצי Cookie של צד שלישי, חוסמים את קובצי ה-Cookie של צד שלישי ב-Chrome. חשוב לבדוק את המאפיינים הידועים האלה, שצפויות להיפגע מההגבלות על קובצי cookie של צד שלישי.
אינטראקציה של משתמשים עם FedCM
FedCM תוכנן כך שלא יהיה תלוי בפרוטוקול אימות, ומציע למשתמש תהליך חדש לאימות מול RP באמצעות IdP של צד שלישי. כדאי לנסות את FedCM באמצעות ההדגמה שלנו.
כניסה לחשבון של צד נסמך
ל-FedCM יש שני מצבי ממשק משתמש: פסיבי ופעיל.
מצב פסיבי. במצב פסיבי, ההנחיה של FedCM מופיעה ללא צורך באינטראקציה של המשתמש. כשהמשתמש מגיע לאתר של הצד הנסמך (RP), תיפתח תיבת דו-שיח של כניסה ל-FedCM כשמתבצעת קריאה ל-navigator.credentials.get(), אם מתקיימים התנאים הבאים:
- המשתמש מחובר ל-IdP.
- הגדרת תקופת הצינון של FedCM לא מוגדרת בדפדפן של המשתמש.
- המשתמש לא השבית את FedCM בהגדרות הדפדפן. מידע נוסף על האופן שבו משתמשים יכולים לבטל את ההסכמה ל-FedCM
מצב פעיל. במצב פעיל, כדי להפעיל הנחיה של FedCM נדרשת הפעלה זמנית של משתמש (למשל, לחיצה על הלחצן כניסה באמצעות…).
המשתמש יכול להשלים את הכניסה על ידי הקשה על המשך בתור <משתמש>. אם התהליך מסתיים בהצלחה, הדפדפן שומר את העובדה שהמשתמש יצר חשבון מאוחד ב-RP באמצעות ה-IdP.
אם למשתמש אין חשבון ב-RP עם ה-IdP, תוצג תיבת דו-שיח להרשמה עם טקסט נוסף של גילוי נאות, כמו התנאים וההגבלות ומדיניות הפרטיות של ה-RP.
ציות לחוקי הפרטיות באינטרנט
השימוש ב-FedCM, כ-IdP או כ-RP, כרוך באחסון מידע בציוד המסוף של המשתמש או בגישה למידע שכבר מאוחסן בו, ולכן זוהי פעילות כפופה לחוקי הפרטיות הדיגיטלית באזור הכלכלי האירופי (EEA) ובבריטניה, שבדרך כלל מחייב הסכמה של המשתמש. באחריותכם לקבוע אם השימוש שלכם ב-FedCM חיוני כדי לספק שירות אונליין שהמשתמש ביקש במפורש, ולכן הוא פטור מדרישת ההסכמה. מידע נוסף זמין בשאלות נפוצות בנושא תאימות לפרטיות בארגז החול לפרטיות.
Vision
אנחנו מפתחים באופן פעיל תכונות חדשות כדי לטפל במגבלות הקיימות ולהציע חוויית משתמש טובה יותר.
- אנחנו בודקים דרכים לשיפור חוויית המשתמש כדי להבטיח למשתמשים תהליך אימות חלק,אינטואיטיבי ופחות פולשני.
- אנחנו מחויבים לשיפור פרטיות המשתמשים. אנחנו מתכננים לעבור למודל NextGen FedCM שמתמקד בהענקת גישה, ומפחית את הבעיה של מעקב אחר IdP. באמצעות NextGen, המשתמשים יכולים להתחבר ל-RPs בלי שה-IdP יעקוב אחריהם.
- מטרת FedCM היא להציג למשתמשים מבחר רחב יותר של ספקי IdP, על סמך הבחירה של ה-RP. כדי להשיג זאת, אנחנו עובדים על ממשקי ה-API של Multi-IdP ושל רישום IdP.
- אנחנו פועלים בשיתוף פעולה עם שותפים כדי לשלב את FedCM עם שיטות אימות אחרות, כמו מפתחות גישה, יחד עם אמצעים נוספים כמו מילוי אוטומטי, כדי לספק חוויית אימות מאוחדת.
פרטים נוספים זמינים בתוכנית העבודה שלנו.