Panoramica dell'API Federated Credential Management

Un'API web per una federazione delle identità che tutela la privacy.

Che cos'è FedCM?

FedCM (Federated Credential Management) è una soluzione che tutela la privacy ai servizi di identità federati (come "Accedi con..."), in base al quale gli utenti possono accedere ai siti senza condividere le loro informazioni personali con servizio di identità o il sito.

Stato implementazione

In futuro, prevediamo di introdurre una serie di nuove funzionalità basate sui feedback ricevuti dai provider di identità (IdP) e dalle parti coinvolte (RP). e dai fornitori di browser. Anche se ci auguriamo che i provider di identità adottino FedCM, tieni presente che FedCM è ancora un'API in fase di sviluppo attivo.

Per ridurre al minimo le difficoltà del deployment di modifiche incompatibili con le versioni precedenti, abbiamo due consigli per i provider di identità:

  • Iscriviti al nostro newsletter in cui invierà aggiornamenti man mano che l'API si evolve.
  • Incoraggiamo gli IdP a distribuire l'API FedCM utilizzando SDK JavaScript, mentre L'API sta maturando e per scoraggiare le parti soggette a limitazioni da SDK self-hosting. In questo modo garantire che gli IdP possano apportare modifiche man mano che l'API si evolve, senza dover chiedere e rieseguire il deployment.

Perché abbiamo bisogno del formato FedCM?

Negli ultimi dieci anni la federazione delle identità ha svolto un ruolo centrale nella il livello dell'autenticazione sul web, in termini di affidabilità, facilità d'uso (ad es. Single Sign-On senza password) e sicurezza (ad esempio, la resistenza agli attacchi di phishing e credential stuffing) rispetto ai controlli per sito nomi utente e password.

Con la federazione delle identità, una parte soggetta a limitazioni si basa su un provider) per fornire all'utente un account senza richiedere un nuovo nome utente. e password.

Sfortunatamente, i meccanismi su cui la federazione delle identità si è basata (iframe, reindirizzamenti e cookie) vengono utilizzati attivamente in modo illecito per monitorare gli utenti sul web. Poiché lo user agent non è in grado di distinguere tra federazione delle identità e il monitoraggio, le mitigazioni dei vari tipi di abuso comportano l'implementazione di la federazione delle identità.

API Federated Credential Management (FedCM) fornisce un caso d'uso specifico l'astrazione per l'identità federata passa sul web, esponendo un browser finestra di dialogo mediata che consente agli utenti di scegliere account dagli IdP a cui accedere siti web.

FedCM è un percorso in più fasi per migliorare l'identità sul web. Nella sua Come primo passo, ci concentriamo sulla riduzione dell'impatto delle limitazioni relative ai cookie di terze parti. sull'identità federata (consulta la sezione Roadmap per alcuni passaggi in avanti).

Un utente sta accedendo a una parte soggetta a limitazioni utilizzando FedCM

Quali aspetti prevediamo che saranno interessati?

Tramite la community impegno e dalla nostra ricerca abbiamo scoperto che ci sono alcune federazione delle identità integrazioni interessate da restrizioni relative ai cookie di terze parti:

Il primo obiettivo di FedCM è ridurre l'impatto delle restrizioni relative ai cookie di terze parti sui della federazione delle identità, ovvero le aree che prevediamo di saranno interessate. Se Esistono altri casi d'uso non elencati, puoi coinvolgere e condividere feedback.

Chi dovrebbe utilizzare FedCM?

Ci aspettiamo che FedCM ti sia utile solo se si applicano tutte le seguenti condizioni:

  1. Sei un provider di identità (IdP).
  2. Sono applicate le limitazioni relative ai cookie di terze parti.
  3. Le tue parti soggette a limitazioni sono siti di terze parti. Se le tue parti soggette a limitazioni sono siti correlati in modo significativo, potresti ricevere un servizio migliore dal sito web correlato Set.

Sei un IdP

FedCM richiede l'assistenza di un provider di identità. Una parte non può utilizzare FedCM in modo indipendente. Se sei una parte soggetta a limitazioni, puoi chiedere all'IdP di fornirti istruzioni.

Sono interessate le limitazioni relative ai cookie di terze parti

Utilizza FedCM solo se la tua integrazione attuale è interessata dal limitazioni relative ai cookie di terze parti.

Se non hai la certezza che la federazione delle identità continuerà a funzionare quando i cookie di terze parti non sono disponibili, puoi testare l'effetto su un sito web il blocco dei cookie di terze parti su Chrome.

Se non è rilevabile alcun impatto sulla federazione delle identità senza di terze parti, puoi continuare a utilizzare l'integrazione attuale senza FedCM

Se hai dubbi su cosa controllare, leggi ulteriori informazioni sui funzionalità dovrebbe influire sulle restrizioni relative ai cookie di terze parti.

Le tue parti soggette a limitazioni sono di terze parti

Se sei un provider di identità le cui RP hanno una relazione proprietaria con l'IdP, ci aspettiamo gli insiemi di siti web correlati potrebbe essere un'opzione migliore. Gli insiemi di siti web correlati (RWS) consentono a un'organizzazione di dichiarare le relazioni tra siti, in modo che i browser consentano un accesso limitato ai cookie di terze parti per scopi specifici. In questo modo i cookie di terze parti possono funzionare tra insiemi di siti correlati in modo significativo, anche se i cookie di terze parti sono altrimenti soggetti a limitazioni.

In che modo gli utenti interagiranno con FedCM?

L'obiettivo principale di FedCM è mitigare l'impatto dei cookie di terze parti limitazioni. Gli utenti possono attivare o disattivare FedCM nell'utente di Chrome impostazioni.

FedCM è progettato per essere indipendente dal protocollo e offre quanto segue relative all'autenticazione.

Guarda la nostra demo per vedere come funziona.

Accedere a un componente

Un utente sta accedendo a una parte soggetta a limitazioni utilizzando FedCM

Quando l'utente viene indirizzato al sito web del componente, viene visualizzata una finestra di dialogo di accesso a FedCM. se l'utente ha eseguito l'accesso all'IdP.

Se l'utente non ha un account nella parte soggetta a limitazioni con l'IdP, viene visualizzata una finestra di dialogo di registrazione compare con un testo di avviso aggiuntivo, come i Termini di servizio della parte soggetta a limitazioni e un norme sulla privacy, se presenti.

L'utente può completare l'accesso toccando Continua come.... In caso di esito positivo, browser memorizza il fatto che l'utente abbia creato un account federato nella parte soggetta a limitazioni con l'IdP.

Le parti soggette a limitazioni dovrebbero funzionare su browser che non supportano FedCM. Gli utenti devono essere essere in grado di utilizzare una procedura di accesso esistente non FedCM. Scopri di più su come di accesso in FedCM.

Impostazioni per attivare o disattivare FedCM

Gli utenti possono attivare o disattivare FedCM nelle impostazioni di Chrome su Android. Vai a Impostazioni > Impostazioni sito > Accesso di terze parti, quindi modifica pulsante di attivazione/disattivazione.

Attiva FedCM nelle Impostazioni di Chrome sui dispositivi mobili attivando l'accesso di terze parti

Possono fare lo stesso con Chrome su computer aprendo chrome://settings/content/federatedIdentityApi.

Attiva FedCM nelle Impostazioni di Chrome sul computer attivando l'accesso di terze parti

Roadmap

Stiamo lavorando per apportare una serie di modifiche a FedCM. Consulta Aggiornamenti per ulteriori dettagli.

  • Log delle modifiche: aggiornamenti dell'API Federated Credential Management.

Sappiamo che ci sono alcune cose che devono ancora essere svolte, inclusi i problemi che hai sentito da IdP, RP e fornitori di browser. Crediamo di sapere come risolvi questi problemi:

  • Supporto di iframe multiorigine: gli IdP possono chiamare FedCM da un iframe multiorigine (aggiornamento).
  • Pulsante personalizzato: gli IdP possono visualizzare l'identità di un utente di ritorno nel di accesso da un iframe multiorigine di proprietà di un IdP (aggiornamento).
  • Endpoint delle metriche: fornisce metriche delle prestazioni agli IdP.

Inoltre, stiamo esaminando attivamente alcuni problemi irrisolti, tra cui: proposte specifiche che stiamo valutando o prototipando:

Infine, ci sono cose che crediamo debbano ancora essere svolte, sulla base dei feedback da Mozilla, Apple e TAGGA recensori. Stiamo lavorando per valutare le soluzioni migliori a queste domande aperte:

  • Migliorare la comprensione degli utenti e l'intento di identificare gli utenti: come Mozilla noti, vorremmo continuare a esplorare diverse formulazioni UX e aree della superficie, nonché i criteri di attivazione.
  • Attributi dell'identità e informativa selettiva: in qualità di nostri recensori di tag noti, vorremmo fornire un meccanismo per condividere selettivamente più o meno identità (come email, fasce di età, numeri di telefono e così via).
  • Aumentare le proprietà della privacy: come suggerito da Mozilla nella sua posizione standard, vorremmo continuare a esplorare meccanismi per offrire una migliore come l'invisibilità degli IdP, gli identificatori diretti.
  • Relazione con WebAuthn: come suggerito da Apple non vediamo l'ora di vedere i progressi passkey e lavorare per fornire una base di dati un'esperienza uniforme tra FedCM, Passwords, WebAuthn e WebOTP.
  • Stato di accesso: come suggerito da Apple con lo stato di accesso del Privacy CG API, condividiamo l'intuizione che lo stato di accesso dell'utente è un'informazione utile che può aiutare i browser prendere decisioni consapevoli e non vediamo l'ora di scoprire quali opportunità si presentano da lì. (aggiornamento)
  • Aziende ed istruzione: come risulta evidente dal CG del FedID, esistono ancora una molto uso richieste che non sono ben serviti da FedCM su cui vorremmo lavorare, come la disconnessione dal canale frontale (la capacità di un IdP di inviare un segnale alle parti soggette a limitazioni disconnessione) e il supporto per SAML.
  • Relazione con mDL/VC ecc.: continua a lavorare per comprendere in che modo si adatti a FedCM, ad esempio con Mobile Document Request l'API.

Utilizzare l'API FedCM

Per utilizzare FedCM, è necessario un contesto sicuro (HTTPS o localhost) nell'IdP e nella parte soggetta a limitazioni in Chrome.

Per l’integrazione con FedCM devi creare un file noto, un file di configurazione e un elenco degli endpoint per l’elenco degli account, l’emissione delle asserzioni e (facoltativamente) i metadati del client. Da qui, FedCM espone le API JavaScript che le parti soggette a limitazioni possono utilizzare per accedere con l'IdP.

Per scoprire come utilizzare l'API FedCM, consulta la guida per gli sviluppatori di FedCM.

Interagisci e condividi il feedback

Conformità alle leggi in materia di e-privacy

L'utilizzo di FedCM, come IdP o RP, prevede l'archiviazione di informazioni su un l'apparecchiatura terminale dell'utente o l'accesso a informazioni già memorizzate al suo interno e pertanto un'attività soggetta alle leggi e-Privacy nello Spazio economico europeo (SEE) e il Regno Unito generalmente richiedono il consenso degli utenti. È tua responsabilità determinare se l'utilizzo di FedCM da parte tua sia strettamente necessario per fornire una servizio online esplicitamente richiesto dall'utente e pertanto esente dal requisito di consenso. Per ulteriori informazioni, ti invitiamo a leggere le nostre Norme sulla privacy Conformità relative alla privacy nella sandbox Domande frequenti.