Na tej stronie znajdziesz informacje o zaletach FedCM, o tym, kto powinien rozważyć wdrożenie FedCM oraz jak użytkownicy korzystają z FedCM.
Zarządzanie upoważnieniami w ramach federacji (FedCM) to skoncentrowane na ochronie prywatności i przyjazne dla użytkownika podejście do usług tożsamości w ramach federacji (takich jak logowanie się za pomocą dostawcy tożsamości), które nie korzysta z plików cookie innych firm ani przekierowań nawigacyjnych.
W ramach FedCM użytkownik otrzymuje nowy sposób uwierzytelniania w witrynie za pomocą zewnętrznego dostawcy tożsamości.
Co to jest federacja tożsamości
Federacja tożsamości deleguje uwierzytelnianie lub autoryzację osoby (użytkownika lub podmiotu) zaufanemu zewnętrznemu dostawcy tożsamości. Następnie dostawca tożsamości zezwala użytkownikowi na zalogowanie się na stronie podmiotu korzystającego (RP). W przypadku federacji tożsamości dostawca usług oparty na dostawcy tożsamości udostępnia użytkownikowi konto bez konieczności podawania nowej nazwy użytkownika i hasła.
Dzięki rozwiązaniom federacji tożsamości użytkownik nie musi tworzyć kolejnego zestawu danych logowania dla każdego RP. Zwiększa to wygodę użytkowników, zmniejsza ryzyko phishingu i pomaga w pozyskiwaniu zweryfikowanych informacji o użytkownikach od zaufanych dostawców tożsamości.
Rozwiązania tradycyjne i pliki cookie innych firm
Tradycyjne mechanizmy federacji tożsamości opierają się na elementach iframe, przekierowaniach lub plikach cookie innych firm, co powoduje obawy związane z prywatnością. Rozwiązania te mogą być wykorzystywane do śledzenia użytkowników w internecie, a przeglądarki nie są w stanie odróżnić wiarygodnych usług identyfikacyjnych od niechcianej inwigilacji.
Z powodu troski o prywatność, główne przeglądarki ograniczają pliki cookie innych firm. Może to mieć wpływ na niektóre funkcje. Z doświadczeń społeczności i naszych badań wiemy, że istnieją pewne integracje związane z tożsamością, na które mają wpływ ograniczenia dotyczące plików cookie innych firm.
Tożsamość sfederowana z FedCM
FedCM ma na celu umożliwienie tych kluczowych procesów uwierzytelniania nawet użytkownikom, którzy wybierają przeglądanie z ograniczonym dostępem plików cookie innych firm.
FedCM nie zależy od protokołu: może być implementowany jako samodzielne rozwiązanie lub jako dodatkowa warstwa, z której mogą korzystać różne protokoły. Na przykład działający serwer OAuth może korzystać z łatwego logowania za pomocą przeglądarki i intuicyjnego interfejsu FedCM, implementując punkty końcowe FedCM, a następnie wymieniać kod autoryzacji zwrócony w odpowiedzi FedCM na token dostępu OAuth.
Dlaczego potrzebujemy FedCM?
W porównaniu z tradycyjnymi rozwiązaniami oferuje ono wiele korzyści dla ekosystemu internetowego, ponieważ zostało zaprojektowane z myślą o użytkownikach, deweloperach RP i IDP.
Obsługa rozwiązań związanych z tożsamością bez plików cookie innych firm
FedCM może pomóc w zmniejszeniu zależności od plików cookie innych firm, które są często używane do śledzenia użytkowników w internecie. Interfejs API umożliwia spersonalizowane logowanie nawet w przypadku użytkowników, którzy przeglądają internet z ograniczonym dostępem do plików cookie innych firm.
FedCM jest też zintegrowany z innymi interfejsami API Piaskownicy prywatności. Na przykład interfejs Storage Access API używa uwierzytelniania FedCM jako sygnału zaufania. Ta integracja jest przydatna w przypadku witryn, które korzystają zarówno z usługi FedCM do uwierzytelniania, jak i z usługi SAA, aby umożliwić elementom iframe w różnych domenach dostęp do niezbędnego miejsca na dane.
Lepsze wrażenia użytkowników
FedCM wprowadza okno dialogowe w interfejsie przeglądarki, które upraszcza proces logowania za pomocą jednego kliknięcia. Interfejs API rozwiązuje też problem z zagęszczeniem stron logowania, który czasami nazywany jest problemem NASCAR.
Zamiast przytłaczającej liczby przycisków logowania się w mediach społecznościowych FedCM oferuje prostszy, przyjazny dla użytkownika interfejs.
Bezpieczeństwo
Tożsamość sfederowana umożliwia użytkownikom korzystanie z zaufanych kont zarządzanych przez dostawców tożsamości. Dzięki temu użytkownicy nie muszą dodawać danych logowania do każdej witryny. Pozwala to zmniejszyć powierzchnię ataku phishingowego. Dodatkowo zamiast wdrażać własne solidne środki bezpieczeństwa, RP mogą polegać na doświadczeniu dostawców tożsamości, którzy specjalizują się w zarządzaniu tożsamością.
FedCM ma na celu ułatwienie użytkownikom korzystania z tożsamości sfederowanej i zachęcenie ich do korzystania z niej zamiast mniej bezpiecznych metod uwierzytelniania.
Spersonalizowane usługi dla większej liczby użytkowników
FedCM zmniejsza trudności związane z UX podczas procesu rejestracji konta. Przykłady zastosowania usługi Google Identity Service wskazują, że użytkownicy wolą tworzyć konta za pomocą procesu One Tap w FedCM niż za pomocą wieloetapowych opcji logowania.
Dzięki FedCM więcej dostawców tożsamości może oferować użytkownikom logowanie jednym kliknięciem. Dzięki temu, że więcej dostawców tożsamości oferuje proces uwierzytelniania jednym kliknięciem, użytkownicy mogą wybierać spośród większej liczby dostawców tożsamości w usługach rejestracji. FedCM zapewnia ulepszony mechanizm wyboru dostawcy tożsamości, prezentując użytkownikom najbardziej odpowiednie konta.
Dzięki wyższym wskaźnikom rejestracji dostawcy usług reklamowych mogą oferować większą liczbie użytkowników spersonalizowane usługi.
Obsługa różnych dostawców tożsamości
Uproszczone UI FedCM ma na celu wyświetlanie użytkownikom spersonalizowanej listy odpowiednich dostawców tożsamości.
Dzięki mechanizmowi wyboru dostawcy tożsamości w ramach FedCM wybór dostawców tożsamości przez RP nie jest już ograniczony wielkością bazy użytkowników dostawcy tożsamości. Na przykład część użytkowników może mieć konto tylko w usłudze small-idp.example, a nie w usłudze bigger-idp.example.
Dzięki funkcji wielu dostawców tożsamości usługa rp.example może obsługiwać zarówno small-idp.example, jak i bigger-idp.example, nie zaśmiecając interfejsu. To przynosi korzyści wszystkim stronom:
- Użytkownicy mogą wybrać dowolnego dostawcę usług uwierzytelniania, niezależnie od jego wielkości.
- Dostawcy reklam docierają do większej liczby użytkowników dzięki różnorodnym usługom dostawców tożsamości
- Usługodawcy tożsamości z mniejszą bazą użytkowników są dostępni dla większej liczby usługodawców.
Kto powinien korzystać z FedCM?
Oczekujemy, że FedCM będzie przydatne tylko wtedy, gdy spełnione są te warunki:
- Chcesz obsługiwać procesy tożsamości federacyjnej nawet w przypadku użytkowników, którzy wybierają przeglądanie bez plików cookie innych firm.
- Jesteś dostawcą tożsamości (IdP) z zewnętrznymi dostawcami RP. Jeśli RP to witryny, które są ze sobą powiązane, możesz lepiej wykorzystać zestawy powiązanych witryn.
- Masz własne rozwiązanie do zarządzania tożsamością i wiele domen, które z niego korzystają.
Jesteś dostawcą tożsamości
FedCM wymaga obsługi przez dostawcę tożsamości. Użytkownik nie może samodzielnie korzystać z FedCM. Jeśli jesteś RP, możesz poprosić dostawcę tożsamości o instrukcje.
Wiele RP
Jeśli dostawcy usług rejestracji są zewnętrzni lub jeśli więcej niż 4 dostawcy usług rejestracji korzystają z Twojego rozwiązania dotyczącego tożsamości, zalecanym interfejsem API do tożsamości sfederowanej jest FedCM.
Jeśli jesteś dostawcą tożsamości z maksymalnie 5 usługami po stronie klienta i te usługi mają relację z dostawcą tożsamości na poziomie dostawcy, rozważ użycie zbiorów powiązanych witryn. RWS umożliwia ograniczony dostęp do plików cookie innych firm w przypadku zestawów powiązanych witryn, nawet jeśli w innych przypadkach pliki cookie innych firm są ograniczone.
Chcesz obsługiwać proces federacji tożsamości bez plików cookie
FedCM obsługuje podstawowe przepływy tożsamości federacyjnej nawet w przypadku użytkowników, którzy wybierają przeglądanie bez plików cookie innych firm. Dzięki usłudze FedCM użytkownicy nadal mogą rejestrować się, logować się i wylogowywać przy użyciu swoich kont sfederowanych w usługach dostawców usług.
Dodatkowo FedCM pełni funkcję znaku zaufania dla interfejsu Storage Access API, eliminując problemy związane z żądaniami dostępu do pamięci masowej inicjowanymi przez dostawcę tożsamości.
Sprawdź, czy federacja tożsamości będzie nadal działać w przypadku użytkowników, którzy chcą przeglądać internet bez plików cookie innych firm. Aby to zrobić, zablokuj pliki cookie innych firm w Chrome. Przetestuj te znane funkcje, na które mogą mieć wpływ ograniczenia dotyczące plików cookie innych firm.
Interakcje użytkownika z FedCM
FedCM jest niezależny od protokołu uwierzytelniania i oferuje użytkownikowi nowy proces uwierzytelniania się w usłudze RP za pomocą zewnętrznego dostawcy tożsamości. Wypróbuj FedCM w naszej wersji demonstracyjnej.
Logowanie się w usługach strony trzeciej
FedCM ma 2 tryby interfejsu: pasywny i aktywny.
Tryb pasywny. Tryb pasywny nie wymaga interakcji użytkownika, aby prompt FedCM się wyświetlił. Gdy użytkownik trafia na stronę strony trzeciej, po wywołaniu funkcji navigator.credentials.get() może pojawić się okno logowania FedCM, jeśli są spełnione te warunki:
- Użytkownik jest zalogowany w dostawcy tożsamości.
- Ustawienie czasu oczekiwania FedCM nie jest ustawione w przeglądarce użytkownika.
- Użytkownik nie wyłączył FedCM w ustawieniach przeglądarki. Dowiedz się więcej o tym, jak użytkownicy mogą zrezygnować z FedCM.
Tryb aktywny. W trybie aktywnym do wywołania promptu FedCM wymagane jest przejściowe działanie użytkownika (np. kliknięcie przycisku Zaloguj się za pomocą…).
Użytkownik może dokończyć logowanie, klikając Dalej jako <użytkownik>. Jeśli operacja się powiedzie, przeglądarka zapisuje fakt, że użytkownik utworzył konto federacyjne na RP z IDP.
Jeśli użytkownik nie ma konta w usługach dostawcy tożsamości, pojawi się okno rejestracji z dodatkowym tekstem, takim jak warunki korzystania z usługi i polityka prywatności dostawcy.
.Zgodność z przepisami ePrivacy
Korzystanie z FedCM jako dostawca tożsamości lub dostawca usług reklamowych wiąże się z przechowywaniem informacji na urządzeniu końcowym użytkownika lub z dostępem do informacji już na nim zapisanych. Jest to więc działanie podlegające przepisom dotyczącym prywatności w internecie w Europejskim Obszarze Gospodarczym (EOG) i Wielkiej Brytanii, które zazwyczaj wymagają zgody użytkownika. Twoim obowiązkiem jest ustalenie, czy korzystanie z FedCM jest ściśle niezbędne do świadczenia usługi online, o którą użytkownik wyraźnie poprosił, i czy w związku z tym nie jest wymagana zgoda użytkownika. Więcej informacji znajdziesz w Pytaniach i odpowiedziach dotyczących zgodności z zasadami ochrony prywatności w Piaskownicy prywatności.
Vision
Aktywnie rozwijamy nowe funkcje, aby ominąć obecne ograniczenia i zapewnić użytkownikom lepsze wrażenia.
- Testujemy cichsze formulacje interfejsu, aby zapewnić użytkownikom płynny, intuicyjny i mniej uciążliwy proces uwierzytelniania.
- Dbamy o prywatność użytkowników. Planujemy przejście na model NextGen FedCM oparty na delegowaniu, który ogranicza problem związany z śledzeniem przez dostawcę tożsamości. Dzięki nowej generacji użytkownicy mogą logować się w usługach RP bez konieczności śledzenia przez dostawcę tożsamości użytkownika.
- FedCM ma na celu przedstawienie użytkownikom szerszego wyboru dostawców tożsamości na podstawie wyboru RP. Aby to osiągnąć, pracujemy nad interfejsami API rejestracji IdP i wielu IdP.
- Aktywnie pracujemy nad integracją FedCM z innymi metodami uwierzytelniania, takimi jak Passkeys, oraz dodatkowymi funkcjami, takimi jak autouzupełnianie, aby wprowadzić jednolite uwierzytelnianie.
Więcej informacji znajdziesz w naszej mapie drogowej.