पब्लिश होने की तारीख: 8 सितंबर, 2025
अलग-अलग सेक्टर के इंडस्ट्री लीडर यह समझते हैं कि बेहतर उपयोगकर्ता अनुभव देने के साथ-साथ निजता की सुरक्षा करना कितना ज़रूरी है. Seznam, उपयोगकर्ता को बेहतर अनुभव देने और उसकी निजता की सुरक्षा करने के लिए प्रतिबद्ध है. साथ ही, उसने Federated Credential Management (FedCM) को इंटिग्रेट कर लिया है.
FedCM से फ़ायदा पाने वाली कंपनियां
अलग-अलग डोमेन के संगठन, FedCM को अपने सलूशन के साथ इंटिग्रेट करते हैं. FedCM को फ़ेडरेटेड आइडेंटिटी मैनेजमेंट के लिए डिज़ाइन किया गया है. इसलिए, आइडेंटिटी प्रोवाइडर (आईडीपी) को इससे सबसे ज़्यादा फ़ायदा मिलता है. ये कुकी, साइन-इन करने का बेहतर अनुभव देने के लिए इसका इस्तेमाल करती हैं. ई-कॉमर्स की सेवा देने वाली कंपनियां और पेमेंट की सेवा देने वाली कंपनियां, FedCM की मदद से उपयोगकर्ता अनुभव को बेहतर बनाने के तरीके भी ढूंढती हैं. इनमें से कई कंपनियां, आइडेंटिटी प्रोवाइडर के तौर पर भी काम करती हैं.
Seznam
Seznam, यूरोप की एक टेक्नोलॉजी कंपनी है. साथ ही, यह पहचान की पुष्टि करने वाली कंपनी है. यह चेक गणराज्य की 90% आबादी तक पहुंचती है. यह एक सोशल, नॉलेज, और कॉन्टेंट हब के तौर पर काम करता है. Seznam ने FedCM को अपनाया है, ताकि उसके पार्टनर के प्लैटफ़ॉर्म पर काम करने वाले ऑनलाइन स्टोर के ग्राहक, अपने Seznam खाते का इस्तेमाल करके साइन इन कर सकें.
FedCM की मदद से, Seznam को पार्टनर नेटवर्क पर उपयोगकर्ता के साइन-इन रेट में काफ़ी बढ़ोतरी मिली. साथ ही, उपयोगकर्ता अनुभव बेहतर हुआ. इसके अलावा, तीसरे पक्ष की कुकी की उपलब्धता के बावजूद, आइडेंटिटी फ़्लो में कोई बदलाव नहीं हुआ.
वजह
Seznam ने कई फ़ायदों की वजह से FedCM को लागू करने का फ़ैसला किया:
- FedCM को असली उपयोगकर्ता को ध्यान में रखकर डिज़ाइन किया गया है. इससे उपयोगकर्ताओं को यह कंट्रोल मिलता है कि वे आईडीपी को कौनसी जानकारी दें. इससे Seznam के उपयोगकर्ताओं को सुरक्षित और निजी माहौल देने के विज़न को पूरा करने में मदद मिलती है.
- FedCM, ब्राउज़र में पहले से मौजूद एक सुविधा है. यह Seznam की मौजूदा साइन-इन सुविधा के साथ काम करती है. यह सुविधा, OAuth 2.0 स्टैंडर्ड का इस्तेमाल करती है.
- FedCM, आइडेंटिटी फ़ेडरेशन के लिए निजता पर आधारित नज़रिया है. उदाहरण के लिए, अगर उपयोगकर्ता साइन इन करता है, तो उपयोगकर्ता के आरपी (RP) पर जाने की जानकारी सिर्फ़ IdP के साथ शेयर की जाती है. यह, Seznam के टिकाऊ कारोबार के नज़रिए के मुताबिक है.
क्रियान्वयन विवरण
Seznam ने FedCM को अपने मौजूदा OAuth समाधान के ऊपर एक लेयर के तौर पर लागू किया. इस आर्किटेक्चर में, FedCM फ़्लो, IdP से RP को OAuth ऑथराइज़ेशन कोड को सुरक्षित तरीके से ट्रांसमिट करता है.
लागू करने में लगने वाला समय
Seznam को FedCM लागू करना आसान लगा. साथ ही, यह उसके मौजूदा तरीके के मुताबिक था. इसकी रिसर्च और एपीआई को लागू करने में एक महीना लगा. साथ ही, इसके लिए दो डेवलपर की ज़रूरत पड़ी. FedCM को प्रोडक्शन में लाने में दो महीने से भी कम समय लगा. यह प्रोसेस कई बार दोहराई गई. इसमें एपीआई के बारे में जानने में काफ़ी समय लगा.
चुनौतियां
Seznam ने इस एपीआई को सबसे पहले इस्तेमाल किया. इस दौरान, उसे कई चुनौतियों का सामना करना पड़ा. उसने हमें अहम सुझाव दिए, जिससे हमें एपीआई को बेहतर बनाने में मदद मिली.
पहचान देने वाली एक से ज़्यादा सेवाओं के साथ काम करता है
Seznam को FedCM की इस सुविधा में दिलचस्पी थी कि यह एक से ज़्यादा आइडेंटिटी प्रोवाइडर के साथ काम करता है. इस सुविधा का मकसद, उपयोगकर्ताओं को पार्टनर आरपी पर Seznam या Google खातों में से किसी एक को चुनने का विकल्प देना था. हालांकि, जब Seznam ने पहली बार FedCM को लागू करने के लिए संपर्क किया था, तब यह सुविधा शुरुआती चरण में थी. साथ ही, डेवलपर को ओरिजिन ट्रायल के लिए साइन अप करना पड़ा था. इसके अलावा, उपयोगकर्ताओं के लिए इस सुविधा को चालू करने के लिए, उन्हें टोकन का इस्तेमाल करना पड़ा था. इस वजह से, Seznam ने इस सुविधा को Chrome के स्टेबल वर्शन में उपलब्ध होने तक इंतज़ार करने का फ़ैसला किया.
यह सुविधा Chrome 136 से उपलब्ध है. साथ ही, डेवलपर एक से ज़्यादा आइडेंटिटी प्रोवाइडर के लिए सहायता कॉन्फ़िगर कर सकते हैं. उदाहरण के लिए, Seznam और Google, दोनों आइडेंटिटी प्रोवाइडर (आईडीपी) के साथ काम करने के लिए, आईडीपी एक ही get() कॉल में दोनों प्रोवाइडर को शामिल कर सकता है. वहीं, आरपी ऐसा अलग से कर सकता है:
// Executed on the RP's side:
const credential = await navigator.credentials.get({
identity: {
providers: [
{
// IdP1: Seznam config file URL
configURL: 'https://szn.cz/.well-known/web-identity',
clientId: '123',
},
{
// Allow Google Sign-in
configURL: 'https://accounts.google.com/gsi/fedcm.json',
clientId: '456',
},
],
},
});
Seznam ने बताया है कि यह सुविधा, उसके समाधान का हिस्सा होगी. इसके अलावा, FedCM टीम एक से ज़्यादा SDK के साथ काम करने की सुविधा लागू कर रही है. इससे एक से ज़्यादा get() कॉल किए जा सकेंगे.
निजी डीएनएस
जांच के दौरान, Seznam को नेटवर्क कॉन्फ़िगरेशन से जुड़ी समस्या का सामना करना पड़ा. इसका टेस्ट IdP सर्वर, निजी नेटवर्क में मौजूद था. इसे सिर्फ़ निजी डीएनएस के ज़रिए ऐक्सेस किया जा सकता था. यह सेटअप, ऐप्लिकेशन को सार्वजनिक तौर पर उपलब्ध कराने से पहले, इंटरनल टेस्टिंग और डेवलपमेंट एनवायरमेंट के लिए आम है.
हालांकि, इस सेटअप से एक समस्या आती है: well-known फ़ाइल को eTLD+1 से सर्व किया जाना चाहिए. साथ ही, प्राइवेट डेवलपमेंट डोमेन, पब्लिक सफ़िक्स लिस्ट में रजिस्टर नहीं होता है. इसलिए, ब्राउज़र डेवलपमेंट डोमेन पर होस्ट की गई well-known फ़ाइल को फ़ेच करने के लिए अनुरोध नहीं भेजेगा:
login.idp.example: प्रोडक्शन डोमेन का उदाहरण.idp.example/.well-known/web-identity: प्रोडक्शन में मौजूदwell-knownफ़ाइल का उदाहरण.login.dev.idp.example: उदाहरण के लिए डेवलपमेंट डोमेन.login.dev.idp.example/.well-known/web-identity: डेवलपमेंट एनवायरमेंट मेंwell-knownफ़ाइल का उदाहरण.
जब FedCM को किसी निजी डोमेन पर होस्ट किया जाता है, तब ब्राउज़र के well-known फ़ाइल के अनुरोध पर यह गड़बड़ी दिखती है:
The fetch of the well-known file resulted in a network error: ERR_NAME_NOT_RESOLVED
Chrome #fedcm-without-well-known-enforcement फ़्लैग को चालू करके, इस गड़बड़ी को ठीक किया जा सकता है. इस फ़्लैग के चालू होने पर, ब्राउज़र जांच के लिए well-known फ़ाइल को फ़ेच नहीं करता है. Chrome में टेस्टिंग फ़्लैग चालू करने का तरीका जानें.
अपनी पसंद के मुताबिक जानकारी ज़ाहिर करना
Seznam, FedCM के शुरुआती यूज़र इंटरफ़ेस (यूआई) डिज़ाइन के साथ-साथ अतिरिक्त जानकारी भी शामिल करना चाहता था. FedCM का स्टैंडर्ड डायलॉग, उपयोगकर्ता को एक मैसेज दिखाता है. इसमें बताया जाता है कि कुछ डेटा, जैसे कि उपयोगकर्ता की प्रोफ़ाइल इमेज, नाम, और ईमेल पता, आरपी के साथ शेयर किया जाता है.
FedCM टीम ने सुझाव, शिकायत या राय को शामिल किया है. साथ ही, एपीआई को इस तरह से बढ़ाया है कि उपयोगकर्ता को दिखाए जाने वाले डिसक्लोज़र को पसंद के मुताबिक बनाया जा सके. उदाहरण के लिए, जारी रखें सुविधा की मदद से, IdP उपयोगकर्ता को कस्टम पेज पर रीडायरेक्ट कर सकता है, ताकि वह अतिरिक्त जानकारी या अनुमतियों का अनुरोध कर सके. कस्टम पैरामीटर और फ़ील्ड की सुविधाएं, Chrome 132 से काम करती हैं. इनकी मदद से, Chrome को अपनी पसंद के मुताबिक बनाया जा सकता है.
रिलाइंग पार्टी के ऑरिजिन की पुष्टि करना
आने वाले FedCM अनुरोध पर, IdP सर्वर को Origin एचटीटीपी हेडर की पुष्टि करनी होगी. इससे यह पक्का किया जा सकेगा कि अनुरोध उस ऑरिजिन से भेजा गया है जिसे RP ने IdP के साथ पहले से रजिस्टर किया है. इससे यह पक्का किया जाता है कि FedCM आईडी असर्शन का अनुरोध, किसी भरोसेमंद आरपी से आया हो. साथ ही, यह अनुरोध client_id का इस्तेमाल करने वाले किसी हमलावर से न आया हो.
Seznam के साथ एक समस्या है: जब उसके पार्टनर आरपी, Seznam के साथ रजिस्टर करते हैं, तो वह आरपी के ऑरिजिन डेटा का अनुरोध नहीं करता. इसका मतलब है कि आरपी के ऑरिजिन की पुष्टि नहीं की जा सकती.
Seznam का FedCM इंटिग्रेशन, मौजूदा OAuth सलूशन पर आधारित है. इसने ऑरिजिन की जांच किए बिना, यह पक्का करने के लिए कि समाधान सुरक्षित रहे, आरपी client_id और client_secret, दोनों की पुष्टि करने का दूसरा तरीका अपनाया.
उपयोगकर्ता के लिए आइडेंटिटी प्रोवाइडर का डोमेन
Seznam का उपयोगकर्ता की पुष्टि करने वाला इंफ़्रास्ट्रक्चर मुख्य रूप से szn.cz डोमेन पर काम करता है. इस डोमेन पर, FedCM के लिए ज़रूरी आईडीपी एंडपॉइंट होस्ट किए जाते हैं. हालांकि, इसकी मुख्य कॉर्पोरेट पहचान और वह डोमेन जिसके तहत उपयोगकर्ता इसकी सेवाओं को पहचानते हैं और भरोसा करते हैं, वह seznam.cz है.
FedCM डायलॉग, आईडीपी के एंडपॉइंट का ओरिजनल डोमेन दिखाता है: szn.cz. seznam.cz ब्रैंड के बारे में जानने वाले लोग, साइन-इन करने के दौरान szn.cz डोमेन से साइन इन करने के लिए कहे जाने पर भ्रमित हो सकते हैं और साइन इन करने से हिचकिचा सकते हैं.
Chrome 141 से, FedCM ऐसे डोमेन को दिखाने की अनुमति नहीं देता जो IdP लागू करने वाले डोमेन से अलग हो. यह पाबंदी, जान-बूझकर डिज़ाइन की गई है. इसका मकसद, उपयोगकर्ताओं के लिए पारदर्शिता बनाए रखना है. हालांकि, FedCM टीम को पता है कि इस सीमा की वजह से, समस्याएं आ सकती हैं. इसलिए, वह संभावित बदलावों पर बातचीत कर रही है.
असर
FedCM API की मदद से, Seznam अब पार्टनर उपयोगकर्ताओं को सिंगल टैप ऑथराइज़ेशन फ़्लो उपलब्ध करा सकता है. इसमें, पुष्टि करने के अन्य तरीकों की तुलना में FedCM के यूज़र एक्सपीरियंस के फ़ायदों के बारे में बताया गया है.
Seznam ने बताया कि FedCM साइन-इन पर स्विच करने वाली वेबसाइटों पर, उपयोगकर्ता की गतिविधि में काफ़ी बढ़ोतरी हुई. हालांकि, कंपनी ने अन्य फ़ैक्टर के असर को अलग करने के लिए, पूरी तरह से विश्लेषण नहीं किया. FedCM इंटिग्रेट करने से पहले, उपयोगकर्ता की पहचान करने के लिए, सहमति वाले हैश किए गए ईमेल का इस्तेमाल करके मेहमान के तौर पर चेकआउट करने की अनुमति दी जाती थी. इस तरह का विश्लेषण करने में यह चुनौती थी कि यह अनुमान कैसे लगाया जाए कि उपयोगकर्ता का कन्वर्ज़न, FedCM की वजह से हुआ है या उपयोगकर्ता ने गेस्ट चेकआउट का इस्तेमाल करके खरीदारी पूरी की है. Seznam का मानना है कि FedCM को इस्तेमाल करने में आसानी होने की वजह से, कन्वर्ज़न रेट में बढ़ोतरी हुई है.
नतीजा
Seznam ने FedCM को लागू कर लिया है. साथ ही, यह अपने मौजूदा OAuth समाधान के साथ-साथ, ऑथराइज़ेशन का एक वैकल्पिक फ़्लो उपलब्ध कराता है. Seznam को आइडेंटिटी प्रोवाइडर के साथ काम करने, निजी डीएनएस सेटअप, डिसक्लोज़र टेक्स्ट को पसंद के मुताबिक बनाने, रिलाइंग पार्टी के ऑरिजिन की पुष्टि करने, और उपयोगकर्ता को दिखने वाले डोमेन को दिखाने से जुड़ी कुछ समस्याओं का सामना करना पड़ा. हालांकि, एपीआई को लागू करने के बाद से, इसमें सुधार हुआ है. FedCM टीम ने Seznam और अन्य शुरुआती उपयोगकर्ताओं से मिले सुझावों को शामिल किया है. इससे, इन चुनौतियों से निपटने के लिए बेहतर टूल उपलब्ध कराए जा सकते हैं. अगले चरण में, Seznam का प्लान है कि वह FedCM की मदद से, एक से ज़्यादा आइडेंटिटी प्रोवाइडर के साथ काम करने की सुविधा लागू करे