Phase d'évaluation en phase d'origine: l'API identifiants numériques inter-appareils est désormais disponible dans Chrome pour ordinateur

José Luis Zapata

Publié le 30 avril 2025

Une mise à jour intéressante de l'API Digital Credentials est disponible : la compatibilité multi-appareils.

À partir de Chrome 136, les utilisateurs peuvent désormais présenter les informations validées stockées dans le portefeuille numérique de leur appareil Android à Chrome pour ordinateur. Cette fonctionnalité s'appuie sur la version initiale de l'API Digital Credentials, introduite en phase d'évaluation dans Chrome 128 pour Android. Cette fonctionnalité sera d'abord disponible sur les appareils Pixel, et d'autres fournisseurs Android mettent à jour leurs applications d'appareil photo pour la prendre en charge également.

Arrière-plan

De plus en plus, les identifiants numériques (comme un permis de conduire mobile) sont stockés dans des portefeuilles mobiles comme Google Wallet. Il est possible de les présenter sur ordinateur, mais les méthodes existantes n'offrent pas de garanties de confidentialité ou de sécurité solides. Chrome améliore ce point en prenant en charge la présentation des identifiants dans le navigateur, en renforçant la sécurité et la confidentialité, et en facilitant la présentation des informations d'identité par les utilisateurs de manière sécurisée et fluide.

L'API Digital Credentials (DC), qui permet aux utilisateurs de Chrome sur Android de présenter des identifiants numériques à partir d'une application de portefeuille sur le même appareil, est déjà en phase de test. Nous étendons désormais ce test d'origine pour prendre en charge la présentation des identifiants numériques inter-appareils. Grâce à la fonctionnalité multi-appareil, les utilisateurs peuvent désormais scanner un code QR affiché dans Chrome pour ordinateur afin d'établir une connexion et de présenter des identifiants de manière sécurisée depuis leur téléphone Android.

Cette innovation garantit les points suivants :

  • Amélioration de la commodité pour l'utilisateur : les utilisateurs peuvent présenter facilement des informations validées sur tous les appareils.
  • Garanties de sécurité renforcées : présentation multi-appareils résistante à l'hameçonnage à l'aide du Bluetooth comme vérification de la proximité entre l'ordinateur de bureau et l'appareil mobile.

Fonctionnement

Pour partager des identifiants vérifiables stockés dans le portefeuille numérique d'un smartphone avec un site Web à l'aide de Chrome pour ordinateur, procédez comme suit :

  1. Début de la demande d'identifiants : un site Web demandant la validation de l'identité appelle l'API DC. Chrome pour ordinateur affiche un code QR demandant aux utilisateurs de récupérer des identifiants sur un appareil Android. Ce code QR contient des informations cryptographiques nécessaires à la communication sécurisée entre Chrome pour ordinateur et l'appareil mobile.
  2. Action de l'utilisateur : l'utilisateur scanne le code QR à l'aide de son appareil Android.
  3. Connexion de l'appareil : Chrome pour ordinateur et l'appareil Android établissent une connexion sécurisée pour vérifier la proximité à l'aide du Bluetooth avant de procéder à la présentation des identifiants.
  4. Sélection des identifiants : Android affiche les identifiants de portefeuille éligibles sur l'appareil qui correspondent à la requête.

  5. Consentement et authentification dans Wallet :

    • Une fois que l'utilisateur a sélectionné les identifiants, la requête est transmise à l'application de portefeuille qui les détient. L'application Wallet peut demander à l'utilisateur d'accepter le partage et de s'authentifier localement (par exemple, avec un code ou des données biométriques).
    • L'application Wallet traite la requête et renvoie les informations demandées chiffrées de manière sécurisée à Chrome pour ordinateur.

  6. Présentation des identifiants : les informations demandées sont présentées au site Web de la partie de confiance, qui les envoie à son serveur pour un déchiffrement et un traitement sécurisés (par exemple, pour vérifier l'âge ou l'identité de l'utilisateur).

Points à prendre en compte concernant la confidentialité et la sécurité

Cette fonctionnalité inter-appareils intègre les pratiques de confidentialité et de sécurité utilisées dans la CTAP 2.2 :

  • Proximité du PC et de l'appareil mobile : CTAP 2.2 garantit que le téléphone et l'ordinateur sont à proximité avant la présentation des identifiants, ce qui empêche les pirates informatiques d'utiliser à distance des codes QR pour accéder aux informations des utilisateurs.
  • Communication sécurisée : la communication entre Chrome pour ordinateur et l'appareil Android est mise en proxy via un serveur de tunnel sécurisé. Les portefeuilles chiffrent généralement la réponse afin que seul le serveur Web à l'origine de la requête puisse la lire.
  • Consentement de l'utilisateur : l'utilisateur doit explicitement répondre à la demande d'identifiants en sélectionnant des identifiants avant que des données ne soient partagées.
  • Divulgation sélective : les applications Wallet ne présentent que les attributs spécifiques demandés, tels qu'une tranche d'âge, sans divulguer d'informations inutiles. L'API DC est également compatible avec des fonctionnalités de protection de la confidentialité telles que la preuve de connaissance zéro dans Google Wallet.

Essayer

Pour découvrir l'API Digital Credentials multi-appareil :

  1. Mettez à jour vers Chrome 136 sur ordinateur et vers les services Google Play 24.0 ou version ultérieure sur votre appareil Android.
  2. Activez l'indicateur à chrome://flags#web-identity-digital-credentials.

  3. Suivez la démonstration :

    1. Accédez à https://digital-credentials.dev dans Chrome pour ordinateur.
    2. Cliquez sur le bouton Demander des identifiants.
    3. Scannez le code QR avec votre téléphone Android.
    4. Présentez des identifiants de démonstration stockés dans l'application de portefeuille disponible via la Fondation OpenWallet.

Cette fonctionnalité est disponible sur les appareils Pixel. Nous mettons tout en œuvre pour la proposer sur d'autres appareils Android à l'avenir.

Pour commencer à tester sur votre propre site Web, rejoignez le test de l'origine de l'API Digital Credentials.

Ressources

Envoyer des commentaires

Avez-vous essayé ? Dites-nous ce qui a fonctionné, ce qui n'a pas fonctionné et ce que vous aimeriez corriger.

Envoyer un commentaire