ปรับปรุงการตรวจสอบสิทธิ์ให้ทันสมัยด้วยพาสคีย์ ข้อมูลเข้าสู่ระบบดิจิทัล และอื่นๆ

Eiji Kitamura

Natalia Markoborodova

เผยแพร่: 21 พฤษภาคม 2026

ที่งาน Google I/O 2026 เราได้พูดถึงเว็บที่การลงชื่อเข้าใช้ไม่ใช่เรื่องยาก โดยควรเป็นจุดแรกเข้าที่ปลอดภัยและเรียบง่ายซึ่งทำให้ผู้ใช้รู้สึกปลอดภัยจริงๆ โพสต์นี้สรุปวิธีแก้ไขขั้นตอนการสร้างบัญชี ลดอุปสรรค และ ปกป้องผู้ใช้ตั้งแต่เริ่มต้น

การเข้าถึงด่วน

• ทำไมการปรับปรุงจึงสำคัญ
• เพิ่มประสิทธิภาพการสร้างบัญชี
• การยืนยันแอตทริบิวต์ที่ราบรื่น
• ใช้พาสคีย์เพื่อการลงชื่อเข้าใช้ที่ราบรื่น
• การนำพาสคีย์มาใช้เชิงกลยุทธ์
• การจัดการพาสคีย์และการกู้คืนที่ยืดหยุ่น

เหตุใดการปรับปรุงจึงสำคัญ

ขั้นตอนที่มีอุปสรรคสูง (เช่น แบบฟอร์มลงชื่อสมัครใช้ที่ซับซ้อน วงจร "ลืมรหัสผ่าน" ที่น่ารำคาญ หรือปุ่มลงชื่อเข้าใช้จำนวนมาก) จะทำลายบรรยากาศ ซึ่งเป็น "ตัวขัดขวางการสลับบริบท" ที่ทำให้ผู้ใช้หนีหาย รหัสผ่านแบบเดิมและรหัสผ่านที่สามารถใช้งานได้เพียงครั้งเดียว (OTP) ยังทำให้ผู้ใช้ตกเป็นเหยื่อฟิชชิงได้ง่ายอีกด้วย

ทุกวินาทีที่เกิดความยุ่งยากคือโอกาสที่ผู้ใช้จะทำไม่สำเร็จ การปรับปรุงการตรวจสอบสิทธิ์ให้ทันสมัยจะช่วยปกป้องระบบและผู้ใช้ การปรับปรุงทุก ทัชพอยต์ในเส้นทางของข้อมูลประจำตัวจะช่วยเพิ่มอัตรา Conversion ได้โดยอัตโนมัติ ตัวอย่างเช่น pixiv มีอัตราการเข้าสู่ระบบสำเร็จสูงถึง 99% (เพิ่มขึ้น 29% เมื่อเทียบกับรหัสผ่าน) หลังจากใช้พาสคีย์ การเลิกใช้ข้อมูลเข้าสู่ระบบที่ไม่รัดกุมจะช่วยให้ การทำงานต่างๆ รวดเร็วและปลอดภัยยิ่งขึ้น

เพิ่มประสิทธิภาพการสร้างบัญชี

การโต้ตอบครั้งแรกที่ผู้ใช้มีกับแอปของคุณจะเป็นตัวกำหนดอารมณ์ การเพิ่มประสิทธิภาพ การสร้างบัญชีเป็นขั้นตอนแรกในการปรับปรุงการใช้งานและความปลอดภัย

การรวมข้อมูลประจำตัวเป็นวิธีการสร้างบัญชีหลัก

คุณสามารถให้ผู้ใช้ข้ามแบบฟอร์มการสร้างบัญชีที่น่าเบื่อได้โดยใช้การเชื่อมโยงข้อมูลประจำตัว ซึ่งช่วยให้ผู้ใช้ลงชื่อสมัครใช้กับผู้ให้บริการที่เชื่อถือได้ เช่น Google ซึ่งจะมอบประสบการณ์การลงชื่อสมัครใช้ที่ราบรื่นและมีประสิทธิภาพ ซึ่งนำผู้ใช้เข้าสู่แอปของคุณได้โดยไม่ต้อง "วุ่นวาย"กับการลงทะเบียนตามปกติ

การรวมศูนย์ทำให้ผู้ใช้ไม่ต้องพิมพ์ชื่อหรืออีเมลด้วยตนเอง เนื่องจากผู้ให้บริการได้ยืนยันตัวตนของบุคคลเหล่านั้นแล้ว คุณจึงข้ามขั้นตอนที่ซ้ำซ้อนเพื่อยืนยันตัวตนของบุคคลเหล่านั้นแยกกันได้ และดึงดูดผู้คนให้เข้ามาใช้บริการได้มากขึ้น

นอกจากนี้ การใช้โซลูชันข้อมูลประจำตัวแบบรวมศูนย์ยังช่วยให้คุณได้รับระดับการรักษาความปลอดภัยของ IdP (ผู้ให้บริการข้อมูลประจำตัว) โดยเฉพาะด้วย เนื่องจาก IdP เชี่ยวชาญด้านข้อมูลประจำตัวและความปลอดภัย การใช้โครงสร้างพื้นฐานของ IdP จึงช่วยลดความเสี่ยงในการสร้างการตรวจสอบสิทธิ์ตั้งแต่ต้น

ใช้ Federated Credential Management (FedCM) API

หากคุณทำหน้าที่เป็น IdP เราขอแนะนำให้ใช้ FedCM API โดยจะจัดการการโต้ตอบผ่าน UI ของเบราว์เซอร์ ซึ่งจะปกป้องความเป็นส่วนตัวด้วยการป้องกันการติดตาม ในขณะเดียวกันก็ช่วยให้ผู้ใช้ลงชื่อเข้าใช้ได้ด้วยการแตะเพียงครั้งเดียว และลดความซับซ้อนของ UI ด้วยการแสดงเฉพาะบัญชีที่เกี่ยวข้อง

รูปแบบ "รวมก่อนแล้วจึงอัปเกรด"

การรวมแล้วอัปเกรดจะรวมความเร็วของการรวมเข้ากับความปลอดภัยระยะยาวของพาสคีย์ หากคุณขอให้ใช้พาสคีย์ทันทีหลังจากลงชื่อสมัครใช้แบบรวมระบบ การเข้าสู่ระบบครั้งถัดไปของผู้ใช้จะป้องกันฟิชชิงได้ตั้งแต่วันแรก

เพิ่มประสิทธิภาพแบบฟอร์มสำหรับการป้อนข้อความอัตโนมัติ

หากจำเป็นต้องใช้แบบฟอร์มที่สร้างขึ้นเอง ให้ใช้แอตทริบิวต์ name และ id ที่อธิบายรายละเอียด และค่า autocomplete ที่ถูกต้องเพื่อให้เบราว์เซอร์กรอกข้อมูลในช่องสำหรับผู้ใช้ได้ ซึ่งจะช่วยลดภาระทางปัญญาและโอกาสที่จะพิมพ์ผิดในระหว่างกระบวนการลงชื่อสมัครใช้ ดูรายละเอียดเพิ่มเติมเกี่ยวกับการเพิ่มประสิทธิภาพแบบฟอร์มได้ที่แนวทางปฏิบัติแนะนำสำหรับแบบฟอร์มลงชื่อสมัครใช้

<label for="email">Email</label>
<input type="email" id="email" name="email" autocomplete="email">

<label for="password">New Password</label>
<input type="password" id="password" name="password" autocomplete="new-password">

การยืนยันแอตทริบิวต์ที่ราบรื่น

การทำให้ผู้ใช้ออกจากแอปเพื่อตรวจสอบรหัสในอีเมลจะลดอัตรา Conversion การเปลี่ยนบริบทนี้เป็นจุดที่ผู้คนเสียสมาธิและไม่กลับมาอีกเลย

ทำความรู้จักกับโปรโตคอลการยืนยันอีเมล (EVP)

โปรโตคอลการยืนยันอีเมล (EVP) ซึ่งเป็นฟีเจอร์ใหม่ จะช่วยให้แอปพลิเคชันของคุณได้รับอีเมลที่ยืนยันแล้วโดยตรง ผ่านเบราว์เซอร์

หากต้องการเลือกใช้ฟีเจอร์นี้ ให้เพิ่มช่องป้อนข้อมูลที่ซ่อนไว้พร้อมแอตทริบิวต์ autocomplete="email-verification-token"และมีchallenge เบราว์เซอร์จะแยกวิเคราะห์โดเมนอีเมลจากอินพุตและขอให้ผู้ออกอีเมลยืนยันว่าผู้ใช้มีสิทธิ์ควบคุมอีเมลนี้ เมื่อยืนยันสำเร็จแล้ว เบราว์เซอร์จะแสดงการอ้างสิทธิ์อีเมลที่ยืนยันแล้วซึ่งแบ็กเอนด์ของคุณสามารถยืนยันได้ ทันที สำหรับผู้ใช้ ขั้นตอนนี้จะเกิดขึ้นอย่างราบรื่น โดยผู้ใช้จะเห็นเพียง การแจ้งเตือนเมื่อยืนยันอีเมล

EVP ช่วยลดความยุ่งยากที่ทำให้ผู้ใช้เลิกใช้งาน (เช่น ลิงก์มหัศจรรย์หรือ OTP ทางอีเมล) สำหรับการลงชื่อเข้าใช้ การลงชื่อสมัครใช้ และการรีเซ็ตรหัสผ่าน

<input id="email" type="email" autocomplete="email">
<input type="hidden" name="token" challenge="1234" autocomplete="email-verification-token">

โปรดทราบว่าผู้ให้บริการอีเมลแต่ละรายจะเป็นผู้พิจารณารองรับ EVP โปรดสอบถามผู้ให้บริการของคุณว่ามีแผนที่จะรองรับ EVP หรือไม่ หากเป็นเจ้าของโดเมนที่กำหนดเอง คุณอาจเชื่อมต่อโดเมนกับผู้ให้บริการอีเมลที่รองรับเพื่อรองรับ EVP ด้วย

เนื่องจากฟีเจอร์นี้ยังอยู่ในขั้นทดลอง เราจึงอยากได้รับความคิดเห็นจากคุณเกี่ยวกับฟีเจอร์นี้ในที่เก็บ GitHub

Digital Credentials API

สำหรับรายละเอียดที่ละเอียดอ่อน เช่น ชื่อตามกฎหมายหรืออายุ Digital Credentials API มีวิธีขอข้อมูลที่ยืนยันแล้ว จากกระเป๋าเงินของผู้ใช้ผ่านการไกล่เกลี่ยของเบราว์เซอร์โดยใช้การเปิดเผยข้อมูลแบบเลือก ซึ่งหมายความว่าคุณสามารถยืนยันได้ว่าผู้ใช้มีอายุมากกว่าที่กำหนดโดยไม่ต้องรับวันเกิดแบบเต็มหรือชื่อตามกฎหมายของผู้ใช้จริง ซึ่งจะช่วยรักษาความเป็นส่วนตัวของผู้ใช้

ดู Digital Credentials API: Secure and private identity on the web

ใช้พาสคีย์เพื่อการลงชื่อเข้าใช้ที่ราบรื่น

พาสคีย์ไม่ได้เป็นเพียงสิ่งที่จะมาแทนที่รหัสผ่าน ซึ่งเป็นการเปลี่ยนแปลงพื้นฐาน ไปสู่การตรวจสอบสิทธิ์แบบป้องกันฟิชชิงที่ราบรื่น

โหมด UI ทันที

ตั้งแต่ Chrome 149 เป็นต้นไป โหมด UI ทันทีจะพร้อมใช้งาน ซึ่งจะช่วยให้เว็บไซต์ตรวจสอบข้อมูลเข้าสู่ระบบได้ทันทีที่ผู้ใช้ไปยังเว็บไซต์ของคุณ หากมีพาสคีย์หรือรหัสผ่านในเครื่องมือจัดการรหัสผ่าน เบราว์เซอร์จะ เป็นตัวกลางในขั้นตอนดังกล่าวโดยแสดงรายการบัญชีที่ใช้ได้ในกล่องโต้ตอบการลงชื่อเข้าใช้ ทันที

จึงไม่จำเป็นต้องให้ผู้ใช้เลือกวิธีการลงชื่อเข้าใช้ การเสนอข้อมูลเข้าสู่ระบบสำหรับบัญชีที่เลือกไว้ล่วงหน้าจะช่วยให้ผู้ใช้ได้รับประสบการณ์การใช้งานแบบ "One Tap" ที่ราบรื่น ซึ่งดูเหมือนเป็นเวทมนตร์

const credential = await navigator.credentials.get({
  password: true,
  uiMode: 'immediate',
  publicKey: publicKeyObject,
});

ดูโหมด UI ทันทีสำหรับการเข้าสู่ระบบ

การป้อนข้อความอัตโนมัติในแบบฟอร์มด้วยพาสคีย์: ใช้การป้อนข้อความอัตโนมัติในแบบฟอร์มขณะเปลี่ยนไปใช้พาสคีย์

สำหรับผู้ใช้ในเว็บไซต์ที่กำลังเปลี่ยนจากรหัสผ่านเป็นพาสคีย์ การป้อนข้อความอัตโนมัติในแบบฟอร์มพาสคีย์จะช่วยให้พาสคีย์ปรากฏในคำแนะนำสำหรับการป้อนข้อความอัตโนมัติเมื่อมีการโฟกัสช่องป้อนข้อมูล ซึ่งหมายความว่า หากผู้ใช้มีพาสคีย์อยู่แล้ว ระบบจะแสดงข้อความให้ใช้พาสคีย์ทันทีที่ผู้ใช้โฟกัสช่องชื่อผู้ใช้ ในแบบฟอร์มลงชื่อเข้าใช้ หากไม่ต้องการ ผู้ใช้จะยังใช้รหัสผ่านที่บันทึกไว้ได้

หากต้องการเปิดใช้ ให้ใส่คำอธิบายประกอบในช่องชื่อผู้ใช้ด้วย autocomplete="username webauthn" และตั้งค่า mediation เป็น 'conditional' เมื่อเรียกใช้ navigator.credentials.get()

ซึ่งเป็นสะพานที่สำคัญในช่วงเปลี่ยนผ่านไปสู่อนาคตที่ไม่ต้องใช้รหัสผ่าน เนื่องจากจะช่วยให้ผู้ใช้คุ้นเคยกับพาสคีย์ในอินเทอร์เฟซที่คุ้นเคย

ดูรายการตรวจสอบการตรวจสอบสิทธิ์ด้วยพาสคีย์

การนำพาสคีย์มาใช้ในเชิงกลยุทธ์

การนำไปใช้มักขึ้นอยู่กับช่วงเวลา การแจ้งให้ผู้ใช้ทราบในเวลาที่เหมาะสมจะช่วยเพิ่มโอกาสที่ผู้ใช้จะลงทะเบียนพาสคีย์ได้อย่างมาก

การสร้างพาสคีย์อัตโนมัติ

ไม่มีใครอยากต้องไปดูการตั้งค่าความปลอดภัยเพื่อตั้งค่าวิธีการเข้าสู่ระบบใหม่ สำหรับผู้ใช้รหัสผ่านที่มีอยู่ คุณควรแจ้งให้ผู้ใช้อัปเกรดเป็นพาสคีย์เมื่อใดและอย่างไร

การสร้างพาสคีย์อัตโนมัติจึงเข้ามามีบทบาทในจุดนี้ ด้วย Conditional Create เบราว์เซอร์จะอัปเกรดผู้ใช้รหัสผ่านเป็นพาสคีย์โดยอัตโนมัติได้ ทันทีที่ผู้ใช้เข้าสู่ระบบด้วยเครื่องมือจัดการรหัสผ่าน

การส่ง mediation: 'conditional' ไปยัง navigator.credentials.create() API ซึ่งทริกเกอร์จากการลงชื่อเข้าใช้ล่าสุดของผู้ใช้ที่สำเร็จโดยใช้รหัสผ่านที่บันทึกไว้ ในเครื่องมือจัดการรหัสผ่าน จะทำให้เบราว์เซอร์สร้างพาสคีย์ใหม่โดยตรงโดยไม่ต้อง บังคับให้ผู้ใช้ผ่านหน้าจอการตั้งค่าเพิ่มเติม

การลงทะเบียนที่ราบรื่นหมายความว่าผู้ใช้ไม่ต้องตัดสินใจอย่างตั้งใจเพื่อ ปรับปรุงความปลอดภัย ซึ่งจะเกิดขึ้นโดยอัตโนมัติและปกป้องผู้ใช้โดยไม่ต้อง ออกแรงเพิ่มเติม ตัวอย่างเช่น adidas ได้รับการเพิ่มขึ้น 8% ในการสร้างพาสคีย์โดยใช้กลยุทธ์แบบไม่ต้องแจ้งเตือน นี้

await navigator.credentials.create({
  mediation: 'conditional',
  publicKey: { ... },
});

ดูรายการตรวจสอบการลงทะเบียนพาสคีย์

การจัดการพาสคีย์และการกู้คืนที่ยืดหยุ่น

ผู้ใช้ควรมีข้อมูลเข้าสู่ระบบพร้อมใช้งานในอุปกรณ์ เว็บไซต์ และบริการต่างๆ รวมถึงการจัดการบัญชีและตรวจสอบว่าผู้ใช้สามารถกู้คืนบัญชีได้หากอุปกรณ์สูญหายหรือถูกขโมย

ความสอดคล้องข้ามแพลตฟอร์ม

หากมีพร็อพเพอร์ตี้หลายรายการ (เช่น แอป Android และเว็บไซต์ หรือเว็บไซต์หลายรายการ) ที่ใช้ระบบการเข้าสู่ระบบร่วมกัน คุณจะปรับปรุงประสบการณ์ของผู้ใช้ได้ การแชร์ข้อมูลเข้าสู่ระบบอย่างราบรื่นช่วยให้เครื่องมือจัดการรหัสผ่านแนะนำข้อมูลเข้าสู่ระบบที่เหมาะสมแก่ผู้ใช้ในพร็อพเพอร์ตี้ทั้งหมดของคุณได้

การแชร์ข้อมูลเข้าสู่ระบบอย่างราบรื่น ประกอบด้วยเทคโนโลยี 2 อย่าง ได้แก่ ลิงก์เนื้อหาดิจิทัลสำหรับรหัสผ่าน และคำขอที่มาที่เกี่ยวข้องสำหรับพาสคีย์

การใช้ลิงก์เนื้อหาดิจิทัล (Digital Asset Links) จะช่วยให้มั่นใจได้ว่ารหัสผ่านที่สร้างบนเว็บจะพร้อมใช้งานในแอป Android และในทางกลับกัน นอกจากนี้ ยังช่วยให้เครื่องมือจัดการรหัสผ่านแนะนำข้อมูลเข้าสู่ระบบที่บันทึกไว้แล้ว ในโดเมนต่างๆ ที่คุณเป็นเจ้าของซึ่งใช้แบ็กเอนด์การตรวจสอบสิทธิ์เดียวกันได้ด้วย

ใช้คำขอต้นทางที่เกี่ยวข้องเพื่อให้ พาสคีย์พร้อมใช้งานในโดเมนและแอปต่างๆ ผ่านเครื่องมือจัดการข้อมูลเข้าสู่ระบบของผู้ใช้

นี่เป็นอีกวิธีหนึ่งที่จะช่วยให้ประสบการณ์การลงชื่อเข้าใช้ราบรื่นยิ่งขึ้นสำหรับผู้ใช้

เสริมศักยภาพผู้ใช้ด้วยหน้าการจัดการพาสคีย์

หากต้องการมอบประสบการณ์การใช้งานพาสคีย์ที่ซับซ้อน เราขอแนะนำให้คุณสร้างหน้าการจัดการพาสคีย์โดยเฉพาะ พร้อมรองรับชื่อผู้ให้บริการ เวลาใช้งาน และการควบคุมที่ชัดเจน ซึ่งจะช่วยให้ผู้ใช้ จัดการการตั้งค่าได้อย่างมั่นใจ ความโปร่งใสช่วยสร้างความน่าเชื่อถือ

ดูรายการตรวจสอบการจัดการพาสคีย์

การกู้คืนบัญชีที่ยืดหยุ่น

อุปกรณ์อาจสูญหายหรือได้รับการอัปเกรด พาสคีย์มีความยืดหยุ่นโดยธรรมชาติเนื่องจาก ใช้การปกป้องระดับฮาร์ดแวร์และมักจะซิงค์ในระบบคลาวด์ด้วย ทำให้ผู้ใช้สามารถกู้คืนพาสคีย์ในอุปกรณ์เครื่องใหม่ได้ อย่างไรก็ตาม การมีข้อมูลสำรอง เช่น อีเมลที่ยืนยันแล้ว จะช่วยให้ผู้ใช้ไม่พลาดการเข้าถึงชีวิตดิจิทัล ของตนเอง

แทนที่จะให้ผู้ใช้รอสายเพื่อโทรหาฝ่ายช่วยเหลือ คุณสามารถพิสูจน์ได้ว่าผู้ใช้เป็นเจ้าของโดยใช้สัญญาณที่คุณเชื่อถืออยู่แล้ว เช่น การรวมข้อมูลประจำตัวหรือการยืนยันทางอีเมล

การรวมสัญญาณเหล่านี้เข้ากับกลยุทธ์การกู้คืนจะช่วยให้คุณกู้คืนสิทธิ์เข้าถึงได้ทันที เมื่อผู้ใช้กลับมาแล้ว ให้ลงทะเบียนพาสคีย์ใหม่ทันทีเพื่อป้องกันไม่ให้ผู้ใช้ถูกฟิชชิงอีก

การปกป้องเซสชันด้วย DBSC

การรักษาคุกกี้เซสชันให้ปลอดภัยเป็นอีกชั้นการป้องกันที่สำคัญเพื่อปกป้องผู้ใช้จากการลักลอบใช้บัญชี ข้อมูลเข้าสู่ระบบเซสชันที่ผูกกับอุปกรณ์ (DBSC) เป็นวิธีที่คุณใช้ ผูกเซสชันกับฮาร์ดแวร์ได้ ซึ่งจะช่วยลดการลักลอบใช้เซสชันเนื่องจากแม้ว่า คุกกี้จะถูกขโมยไป แต่จะมีเพียงอุปกรณ์เครื่องเดียวกันเท่านั้นที่ขอออกคุกกี้ใหม่ได้ ซึ่งเป็นการเพิ่มความปลอดภัยอีกชั้นให้กับเซสชันของคุณ

DBSC เป็นฟีเจอร์ทดลองที่พร้อมใช้งานใน Windows แล้ว ดูข้อมูลเพิ่มเติมเกี่ยวกับการอัปเดตนี้ได้ในประกาศเกี่ยวกับข้อมูลเข้าสู่ระบบเซสชันที่ผูกกับอุปกรณ์ใน Windows นอกจากนี้ เรายังกำลังขยายการรองรับ DBSC ไปยัง macOS ด้วย

ทักษะของตัวแทนเกี่ยวกับพาสคีย์

เราได้รวมทักษะเกี่ยวกับพาสคีย์ที่ครอบคลุมหลายแง่มุมที่อธิบายไว้ในโพสต์นี้ไว้ในโปรเจ็กต์คำแนะนำสำหรับเว็บยุคใหม่ เราจะเผยแพร่ บล็อกโพสต์เกี่ยวกับทักษะพาสคีย์โดยเฉพาะในเร็วๆ นี้

หากพร้อมที่จะสร้างอนาคตของการตรวจสอบสิทธิ์แล้ว

ดูคำแนะนำแบบเจาะลึกและเริ่มปรับปรุงให้ทันสมัยได้เลย

• รายการตรวจสอบการติดตั้งใช้งานพาสคีย์
• นักพัฒนาซอฟต์แวร์ Chrome - ข้อมูลประจำตัว