Esta página explica os benefícios do FedCM, quem deve considerar a implementação do FedCM e como os usuários interagem com o FedCM.
O Gerenciamento de credenciais federadas (FedCM, na sigla em inglês) é uma abordagem centrada na privacidade e fácil de usar para serviços de identidade federada (como o Fazer login com o provedor de identidade) que não depende de cookies de terceiros ou redirecionamentos de navegação.
Com o FedCM, o usuário tem uma nova forma de autenticação em um site com um provedor de identidade de terceiros.
O que é a federação de identidade
A federação de identidade delega a autenticação ou autorização de um indivíduo (usuário ou entidade) a um provedor de identidade externo confiável (IdP). O IdP permite que o indivíduo faça login em um site de parte confiável (RP). Com a federação de identidade, um RP depende de um IdP para fornecer uma conta ao usuário sem exigir um novo nome de usuário e senha.
Com as soluções de identidade federada, o usuário não precisa criar outro conjunto de credenciais para cada RP. Isso melhora a experiência do usuário, reduz as chances de phishing e ajuda a adquirir informações verificadas do usuário de provedores de identidade confiáveis.
Soluções tradicionais e cookies de terceiros
Os mecanismos tradicionais de federação de identidade dependem de iframes, redirecionamentos ou cookies de terceiros, causando preocupações com a privacidade. Essas soluções podem ser exploradas para rastrear usuários na Web, e os navegadores não conseguem distinguir entre serviços de identidade legítimos e vigilância indesejada.
Com a preocupação com a privacidade, os principais navegadores estão restringindo os cookies de terceiros. Isso pode afetar algumas funcionalidades. Com o esforço da comunidade e nossas pesquisas, descobrimos que há algumas integrações relacionadas à identidade que são afetadas pelas restrições de cookies de terceiros.
Federação de identidade com FedCM
O FedCM tem como objetivo ativar esses fluxos de autenticação importantes, mesmo para os usuários que escolhem navegar com cookies de terceiros restritos.
O FedCM não depende de protocolos: ele pode ser implementado como uma solução independente ou como uma camada extra que diferentes protocolos podem aproveitar. Por exemplo, um servidor OAuth funcional pode se beneficiar da experiência de login com um toque e da interface intuitiva do FedCM ao implementar endpoints do FedCM e, em seguida, trocar o código de autorização retornado na resposta do FedCM por um token de acesso OAuth.
Por que precisamos do FedCM?
Em comparação com as soluções tradicionais, ela oferece vários benefícios para o ecossistema da Web, projetado com o usuário, os RPs e os desenvolvedores de IdPs em mente.
Suporte a soluções de identidade sem cookies de terceiros
O FedCM pode ajudar a reduzir a dependência de cookies de terceiros, que são usados com frequência para rastrear usuários na Web. A API oferece uma experiência de login personalizada mesmo para usuários que optam por navegar com cookies de terceiros restritos.
O FedCM também é integrado a outras APIs do Sandbox de privacidade. Por exemplo, a API Storage Access usa a autenticação FedCM como um sinal de confiança. Essa integração é útil para sites que dependem do FedCM para autenticação e do SAA para permitir que iframes entre origens acessem o armazenamento necessário.
Experiência do usuário aprimorada
O FedCM apresenta uma caixa de diálogo de interface mediada pelo navegador para um processo de login simplificado em um toque. A API também resolve o problema de páginas de login sobrecarregadas, às vezes chamado de problema Nascar.
Em vez de um número excessivo de botões de login social, o FedCM oferece uma interface mais simples e fácil de usar.
Segurança
A abordagem de identidade federada permite que os usuários usem contas confiáveis gerenciadas por IdPs. Com essa abordagem, os usuários não precisam adicionar credenciais a cada site. Isso reduz a superfície para ataques de phishing. Além disso, em vez de implementar as próprias medidas de segurança robustas, os RPs podem contar com a experiência de provedores de identidade especializados em gerenciamento de identidade segura.
O FedCM tem como objetivo tornar o fluxo de identidade federada ainda mais conveniente para os usuários, incentivando-os a preferir esse fluxo em vez de fluxos de identidade menos seguros.
Experiência personalizada para mais usuários
O FedCM reduz o atrito da UX durante o fluxo de inscrição na conta. Os estudos de caso do serviço de identidade do Google mostram que os usuários preferem criar contas com o fluxo de um toque do FedCM em vez de opções de login com várias etapas.
Com o FedCM, mais IdPs podem oferecer aos usuários uma experiência de login com um toque. Com mais provedores de identidade oferecendo um fluxo de identidade com um toque, os usuários podem escolher entre uma seleção mais ampla de provedores de identidade em RPs. O FedCM oferece um mecanismo de seleção de IdP aprimorado, apresentando aos usuários as contas mais relevantes.
Com taxas de inscrição mais altas, os RPs podem oferecer uma experiência personalizada para mais usuários.
Suporte a diversos provedores de identidade
A interface simplificada do FedCM tem como objetivo apresentar aos usuários uma lista personalizada dos
IDPs relevantes.
Com o mecanismo de seleção de IdP do FedCM, a escolha de IdPs do RP não é mais
restringida pelo tamanho da base de usuários do IdP. Por exemplo, uma parte dos usuários
pode ter uma conta apenas com small-idp.example, e não com
bigger-idp.example.
Com o recurso de vários IdP,
rp.example pode oferecer suporte a small-idp.example e bigger-idp.example
sem bagunçar a interface. Isso beneficia todas as partes:
- Os usuários podem escolher o IdP preferido, seja ele grande ou pequeno.
- Os RPs alcançam mais usuários com suporte a vários IdPs
- As IdPs com uma base de usuários menor estão disponíveis em mais RPs.
Quem deve usar o FedCM?
O FedCM só será útil para você se estas condições forem atendidas:
- Você quer oferecer suporte a fluxos de identidade federada, mesmo para usuários que optam por navegar sem cookies de terceiros.
- Você é um provedor de identidade (IdP) com RPs de terceiros. Se os RPs forem sites relacionados, talvez seja melhor usar conjuntos de sites relacionados.
- Você tem sua própria solução de identidade e vários domínios que dependem dela.
Você é um IdP
O FedCM requer suporte de um provedor de identidade. Uma parte confiável não pode usar o FedCM de forma independente. Se você for um RP, peça ao seu provedor de identidade para fornecer instruções.
Várias partes restritas
Se os RPs forem de terceiros ou se você tiver mais de quatro RPs usando sua solução de identidade, a FedCM será a API recomendada para identidade federada.
Se você for um provedor de identidade com até cinco RPs e eles tiverem uma relação direta com o IdP, use os conjuntos de sites relacionados (RWS, na sigla em inglês). O RWS permite o acesso limitado de cookies de terceiros em conjuntos de sites relacionados, mesmo quando os cookies de terceiros são restritos.
Você quer oferecer suporte ao fluxo de federação de identidade sem cookies
O FedCM oferece suporte a fluxos de identidade federada essenciais, mesmo para usuários que optam por navegar sem cookies de terceiros. Com o FedCM, os usuários ainda podem se inscrever, fazer login e sair com as contas federadas nos RPs.
Além disso, o FedCM funciona como um indicador de confiança para a API Storage Access, eliminando a fricção de solicitações de acesso ao armazenamento iniciadas pelo IdP.
Teste se a federação de identidade vai continuar funcionando para os usuários que escolherem navegar sem cookies de terceiros bloqueando cookies de terceiros no Chrome. Teste estes recursos conhecidos que as restrições de cookies de terceiros devem afetar.
Interação do usuário com o FedCM
O FedCM foi projetado para não depender do protocolo de autenticação e oferece ao usuário um novo fluxo para autenticar em um RP com um IdP de terceiros. Teste o FedCM com nossa demonstração.
Fazer login em uma parte confiável
O FedCM tem dois modos de interface: Passivo e Ativo.
Modo passivo. O modo passivo não exige interação do usuário para que o comando FedCM
seja exibido. Quando o usuário acessa o site da parte confiável (RP), uma caixa de diálogo de
fechamento de FedCM pode aparecer quando navigator.credentials.get() é chamada se as
seguintes condições forem atendidas:
- O usuário fez login no IdP.
- A configuração de tempo de espera do FedCM não é definida no navegador do usuário.
- O usuário não desativou o FedCM nas configurações do navegador. Saiba como os usuários podem desativar o FedCM.
Modo ativo. No modo ativo, é necessária uma ativação temporária do usuário (como um clique no botão Fazer login com…) para acionar um comando do FedCM.
O usuário pode concluir o login tocando em Continuar como <user>. Se bem-sucedido, o navegador armazena o fato de que o usuário criou uma conta federada no RP com o IdP.
Se o usuário não tiver uma conta no RP com o IdP, uma caixa de diálogo de inscrição vai aparecer com um texto de divulgação adicional, como os termos de serviço e a política de privacidade do RP.
.Conformidade com as leis de privacidade eletrônica
O uso do FedCM, seja como um IdP ou um RP, envolve o armazenamento de informações no equipamento terminal do usuário ou o acesso a informações já armazenadas nele. Portanto, é uma atividade sujeita às leis de privacidade eletrônica no Espaço Econômico Europeu (EEE) e no Reino Unido, que geralmente exigem o consentimento do usuário. É sua responsabilidade determinar se o uso do FedCM é estritamente necessário para fornecer um serviço on-line solicitado explicitamente pelo usuário e, portanto, isento do requisito de consentimento. Para mais informações, leia as Perguntas frequentes sobre compliance relacionadas à privacidade do Sandbox de privacidade.
Vision
Estamos desenvolvendo novos recursos para resolver as limitações atuais e oferecer uma melhor experiência do usuário.
- Estamos testando formulações de UX mais silenciosas para garantir um processo de autenticação suave,intuitivo e menos intrusivo para os usuários.
- Estamos dedicados a melhorar a privacidade do usuário. Planejamos fazer a transição para o modelo FedCM de última geração orientado a delegação, que mitiga o problema de rastreamento de IdP. Com o NextGen, os usuários podem fazer login em RPs sem que o IdP acompanhe o usuário.
- O objetivo do FedCM é apresentar aos usuários uma seleção mais ampla de IdPs com base na escolha do RP. Para isso, estamos trabalhando nas APIs Multi-IdP e de registro de IdP.
- Estamos trabalhando ativamente para integrar o FedCM a outros métodos de autenticação, como chaves de acesso, com outros meios, como o preenchimento automático, para apresentar uma experiência de autenticação unificada.
Consulte nosso plano de ação para mais detalhes.