API Signal para chaves de acesso disponível no Chrome para Android

José Luis Zapata
Nina Satragno
Nina Satragno
X

Publicado em: 5 de dezembro de 2025

A partir do Chrome 144, a API Signal está disponível no Chrome para Android. Essa API permite que as partes confiáveis (RPs) mantenham as chaves de acesso armazenadas no provedor de chaves de acesso de um usuário consistentes com as credenciais no servidor.

Por que usar a API Signal?

Quando um usuário cria uma chave de acesso, o provedor dela (como o Gerenciador de senhas do Google) salva a chave privada e os metadados (como nome de usuário e nome de exibição), enquanto seu servidor salva a chave pública.

Com o tempo, eles podem ficar fora de sincronia. Exemplo:

  • Chave de acesso excluída:um usuário exclui a credencial no seu site, mas a chave de acesso permanece no provedor. Na próxima vez que tentarem fazer login, o provedor de chaves de acesso vai oferecer uma chave que não funciona mais.
  • Mudanças de nome:um usuário atualiza o nome de usuário no seu site, mas o provedor de chaves de acesso ainda mostra o nome antigo.

A API Signal resolve isso permitindo que seu site "sinalize" o estado atual das credenciais para o provedor de chaves de acesso. Você pode pedir ao provedor para excluir chaves de acesso inválidas ou atualizar metadados, garantindo uma experiência de login sem problemas.

O que há de novo

A API Signal no Chrome para Android funciona de maneira idêntica à implementação para computador, com melhorias específicas para o ecossistema móvel.

Suporte para gerenciadores de senhas de terceiros

A API Signal está disponível para o Gerenciador de senhas do Google em todas as versões compatíveis do Android. No Android 14 e versões mais recentes, a API Signal também se integra ao provedor de chaves de acesso do sistema. Quando o Chrome transmite um indicador nesses dispositivos, ele não se limita ao Gerenciador de senhas do Google. O Chrome envia o sinal para todos os provedores de chaves de acesso ativados no dispositivo.

Se um usuário gerenciar chaves de acesso com um provedor terceirizado que ofereça suporte à API Signal, esse provedor vai receber a atualização e manter as credenciais do usuário sincronizadas.

Sincronização mais segura com a restauração de chaves de acesso

O Gerenciador de senhas do Google oferece suporte a um mecanismo de segurança para atualizações da API Signal no Android e em computadores.

Antes, quando um RP sinalizava que uma credencial era desconhecida ou removida, a chave de acesso era excluída permanentemente. Agora, o Gerenciador de senhas do Google oculta a chave de acesso em vez de excluí-la.

  • Chaves de acesso ocultas:a chave de acesso não aparece mais em diálogos de preenchimento automático ou de login, evitando falhas de login.
  • Restauração:se o alerta foi enviado por engano, a chave de acesso pode ser restaurada.

Usar a API Signal

A API Signal expõe três métodos para manter as credenciais sincronizadas:

  • Use signalUnknownCredential quando um login com chave de acesso falha porque o ID da credencial não é encontrado no seu servidor. Isso sinaliza ao provedor para remover (ou ocultar) a chave de acesso inválida.
  • Use signalAllAcceptedCredentials depois que um usuário fizer login ou gerenciar as configurações da conta. Você fornece uma lista de todos os IDs de credenciais válidos para esse usuário. O provedor de chaves de acesso compara a lista com o armazenamento local para essa parte confiável. Qualquer chave de acesso encontrada no provedor que não esteja incluída na lista allAcceptedCredentialIds será marcada como "oculta". Essas chaves de acesso ocultas não são mais oferecidas para fazer login ou preenchimento automático, mas não são excluídas permanentemente de imediato, permitindo a restauração, se necessário. Por outro lado, as chaves de acesso presentes em allAcceptedCredentialIds que estão marcadas como "ocultas" no provedor de chaves de acesso são restauradas. Isso permite que seu site restaure chaves de acesso que foram ocultadas por engano.
  • Use signalCurrentUserDetails quando um usuário atualizar o perfil (como o nome de exibição) no seu site e depois de cada login. Isso garante que o provedor de chaves de acesso mostre as informações corretas em futuros logins.

Resumo

A API Signal ajuda você a criar uma experiência de autenticação confiável e fácil de usar. Ao implementar esses indicadores, você evita a confusão causada por chaves de acesso desatualizadas e garante que os usuários sempre vejam informações precisas da conta.

Com o suporte agora disponível no Chrome para Android, você pode oferecer essa experiência sincronizada em dispositivos, provedores de chaves de acesso e gerenciadores de senhas.

Saiba mais