Questa pagina spiega i vantaggi di FedCM, chi dovrebbe prendere in considerazione l'implementazione di FedCM e come gli utenti interagiscono con FedCM.
Federated Credential Management (FedCM) è un approccio incentrato sulla privacy e facile da usare per i servizi di identità federata (come Accedi con il provider di identità) che non si basa su cookie di terze parti o reindirizzamenti di navigazione.
Con FedCM, l'utente ha a disposizione un nuovo modo per autenticarsi con un provider di identità di terze parti su un sito web.
Che cos'è la federazione delle identità
La federazione delle identità delega l'autenticazione o l'autorizzazione di un individuo (utente o entità) a un provider di identità (IdP) esterno attendibile. L'IdP consente quindi all'utente di accedere a un sito web di una parte autorizzata (RP). Con la federazione delle identità, un RP si affida a un IdP per fornire all'utente un account senza richiedere un nuovo nome utente e una nuova password.
Con le soluzioni di identità federata, l'utente non deve creare un altro insieme di credenziali per ogni RP. Ciò migliora l'esperienza utente, riduce le possibilità di phishing e aiuta il RP ad acquisire informazioni utente verificate da fornitori di identità attendibili.
Soluzioni convenzionali e cookie di terze parti
I meccanismi convenzionali di federazione delle identità si basano su iframe, reindirizzamenti o cookie di terze parti, il che solleva problemi di privacy. Queste soluzioni possono essere sfruttate per monitorare gli utenti sul web e i browser non sono in grado di distinguere tra servizi di identità legittimi e sorveglianza indesiderata.
Tenendo presente il problema della privacy, i principali browser stanno limitando i cookie di terze parti. Ciò potrebbe influire su alcune funzionalità. Grazie all'impegno della community e alla nostra ricerca, abbiamo scoperto che esistono alcune integrazioni correlate alla federazione dell'identità che sono interessate dalle limitazioni dei cookie di terze parti.
Federazione delle identità con FedCM
FedCM è indipendente dal protocollo: può essere implementato come soluzione autonoma o come un livello aggiuntivo di cui possono usufruire diversi protocolli. Ad esempio, un server OAuth funzionale può trarre vantaggio dall'esperienza di accesso con un solo tocco e dall'interfaccia utente intuitiva di FedCM implementando gli endpoint FedCM e poi scambiando il codice di autorizzazione restituito nella risposta di FedCM con un token di accesso OAuth.
Perché abbiamo bisogno di FedCM?
Rispetto alle soluzioni convenzionali, offre molteplici vantaggi per l'ecosistema web, progettati pensando all'utente, agli sviluppatori di RP e IdP.
Supporto delle soluzioni di identità senza cookie di terze parti
FedCM può contribuire a ridurre la dipendenza dai cookie di terze parti, che vengono spesso utilizzati per monitorare gli utenti sul web. L'API offre un'esperienza di accesso personalizzata anche quando i cookie di terze parti non sono disponibili (ad esempio, in modalità di navigazione in incognito).
FedCM è integrata anche con altre API Privacy Sandbox. Ad esempio, l'API Storage Access utilizza l'autenticazione FedCM come indicatore di attendibilità. Questa integrazione è utile per i siti web che si basano sia su FedCM per l'autenticazione sia su SAA per consentire agli iframe multiorigine di accedere allo spazio di archiviazione necessario.
Esperienza utente migliorata
FedCM introduce una finestra di dialogo dell'interfaccia utente mediata dal browser per una procedura di accesso semplificata con un solo tocco. L'API risolve anche il problema delle pagine di accesso disordinate, a volte chiamato problema NASCAR.
Anziché un numero eccessivo di pulsanti di accesso social, FedCM offre un'interfaccia più semplice e intuitiva.
Sicurezza
L'approccio dell'identità federata consente agli utenti di utilizzare account attendibili gestiti da IdP. Con questo approccio, gli utenti non devono aggiungere le credenziali a ogni sito. In questo modo si riduce la superficie per gli attacchi di phishing. Inoltre, anziché implementare proprie misure di sicurezza efficaci, le RP possono fare affidamento sull'esperienza dei IdP specializzati nella gestione sicura delle identità.
FedCM mira a rendere il flusso di identità federata ancora più comodo per gli utenti, incoraggiandoli a preferirlo a flussi di identità meno sicuri.
Esperienza personalizzata per un maggior numero di utenti
FedCM riduce l'attrito dell'esperienza utente durante il flusso di registrazione dell'account. I casi di studio del servizio Google Identity mostrano che gli utenti preferiscono creare account con il flusso One Tap di FedCM rispetto alle opzioni di accesso in più passaggi.
Con FedCM, un maggior numero di IdP può offrire ai propri utenti un'esperienza di accesso con un solo tocco. Con un maggior numero di IdP che offrono un flusso di identità con un solo tocco, gli utenti possono scegliere tra una selezione più ampia di IdP sulle RP. FedCM fornisce un meccanismo di selezione dell'IdP migliorato presentando agli utenti gli account più pertinenti.
Con tassi di registrazione più elevati, le RP possono offrire un'esperienza personalizzata a un maggior numero di utenti.
Supporto di diversi Identity Provider
L'interfaccia utente semplificata di FedCM ha lo scopo di presentare agli utenti un elenco personalizzato dei
provider di identità pertinenti. Con il meccanismo di selezione dell'IdP di FedCM, la scelta degli IdP da parte della RP non è più limitata dalle dimensioni della base utenti dell'IdP. Ad esempio, una parte degli utenti potrebbe avere un account solo con small-idp.example e non con bigger-idp.example.
Con la funzionalità Multi-IdP, rp.example può supportare sia small-idp.example
che bigger-idp.example senza ingombrare la UI. Questo è vantaggioso per tutte le parti:
- Gli utenti possono scegliere l'IdP che preferiscono, indipendentemente dalle dimensioni.
- I RP raggiungono più utenti grazie al supporto di diversi IdP
- I provider di identità con una base utenti più piccola sono disponibili su più RP.
Chi dovrebbe utilizzare FedCM?
Prevediamo che FedCM ti sia utile solo se si verificano le seguenti condizioni:
- Sei un provider di identità (IdP) con RP di terze parti.
- Hai una soluzione di identità proprietaria e più domini che si basano su di essa.
- Il tuo obiettivo è supportare i flussi di identità federata anche per gli utenti che scelgono di navigare senza cookie di terze parti.
Sei un IdP
FedCM richiede il supporto di un provider di identità. Una relying party non può utilizzare FedCM in modo indipendente. Se sei un RP, puoi chiedere al tuo IdP di fornire istruzioni.
Più RP
Se le tue RP sono di terze parti o se hai più di quattro RP che utilizzano la tua soluzione di identità, FedCM è l'API consigliata per l'identità federata.
Il tuo obiettivo è supportare il flusso di federazione delle identità senza cookie
FedCM supporta i flussi di identità federata essenziali anche per gli utenti che navigano senza cookie di terze parti. Con FedCM, gli utenti possono comunque registrarsi, accedere e uscire con i propri account federati sulle RP.
Inoltre, FedCM funge da indicatore di attendibilità per l'API Storage Access, eliminando l'attrito per le richieste di accesso all'archiviazione avviate dal provider di identità.
Interazione utente con FedCM
FedCM è progettato per essere indipendente dal protocollo di autenticazione e offre all'utente un nuovo flusso per l'autenticazione a un RP con un IdP di terze parti. Prova FedCM con la nostra demo.
Accedere a una relying party
Gli utenti possono scegliere un account da un insieme di IdP supportati dal RP. Se l'utente ha eseguito l'accesso con più IdP, gli verrà chiesto di accedere all'RP utilizzando uno di questi.
Gli account dell'utente vengono visualizzati nel seguente ordine:
- Gli account a cui è stato eseguito l'accesso sul dispositivo dell'utente vengono visualizzati per primi, con gli account a cui è stato eseguito l'accesso più di recente.
- Vengono visualizzati gli account a cui l'utente ha avuto accesso sul RP in base al provider di identità. Le informazioni sugli account a cui è stato eseguito l'accesso vengono estratte dal valore della proprietà
approved_clientsendpoint account. - Gli account che non sono stati utilizzati in precedenza sulla RP vengono visualizzati per ultimi.
Se sono presenti più account in uno di questi livelli di priorità, questi
account vengono ulteriormente ordinati in base all'ordine dei provider di identità forniti dalla RP nella
chiamata get().
Modalità UI di FedCM
FedCM ha due modalità UI: passiva e attiva.
Modalità passiva. La modalità passiva non richiede l'interazione dell'utente per la visualizzazione del prompt FedCM. Quando l'utente arriva sul sito web della relying party (RP), viene visualizzata una finestra di dialogo di accesso FedCM quando viene chiamato navigator.credentials.get() se vengono soddisfatte le seguenti condizioni:
- L'utente ha eseguito l'accesso ad almeno uno dei provider di identità supportati. Se lo stato dell'utente è disconnesso per tutti gli IdP disponibili, il prompt di accesso FedCM non viene visualizzato automaticamente.
- L'impostazione di raffreddamento FedCM non è impostata nel browser dell'utente.
- L'utente non ha disattivato FedCM nelle impostazioni del browser. Scopri di più su come gli utenti possono disattivare FedCM.
Modalità attiva. In modalità attiva, per attivare una richiesta FedCM è necessaria un'attivazione temporanea dell'utente (ad esempio, un clic sul pulsante Accedi con…).
L'utente può completare l'accesso toccando Continua come utente. In caso di esito positivo, il browser memorizza il fatto che l'utente ha creato un account federato sul RP con l'IdP.
Se l'utente non ha un account sulla RP con l'IdP, viene visualizzata una finestra di dialogo di registrazione con un testo di divulgazione aggiuntivo, ad esempio i termini di servizio e le norme sulla privacy della RP.
Conformità alle leggi sulla ePrivacy
L'utilizzo di FedCM, in qualità di IdP o RP, comporta l'archiviazione di informazioni sull'apparecchiatura terminale di un utente o l'accesso a informazioni già archiviate, pertanto è un'attività soggetta alle leggi sulla privacy elettronica nello Spazio economico europeo (SEE) e nel Regno Unito che generalmente richiede il consenso dell'utente. È tua responsabilità determinare se l'utilizzo di FedCM è strettamente necessario per fornire un servizio online esplicitamente richiesto dall'utente e pertanto esente dall'obbligo di consenso.
Vision
Stiamo sviluppando attivamente nuove funzionalità per risolvere le limitazioni attuali e offrire un'esperienza utente migliore.
- Stiamo esplorando formulazioni UX più silenziose per garantire un processo di autenticazione fluido, intuitivo e meno intrusivo per gli utenti.
- Ci impegniamo a migliorare la privacy degli utenti. Prevediamo di passare al modello NextGen FedCM orientato alla delega che mitiga il problema del monitoraggio dell'IdP. Con NextGen, gli utenti possono accedere ai RP senza che l'IdP li segua.
- FedCM mira a offrire agli utenti una selezione più ampia di IdP, in base alla scelta della parte autorizzata. Per raggiungere questo obiettivo, stiamo lavorando alle API Multi-IdP e IdP Registration.
- Stiamo lavorando attivamente per integrare FedCM con altri metodi di autenticazione come le passkey con mezzi aggiuntivi come il completamento automatico per introdurre un'esperienza di autenticazione unificata.
Per maggiori dettagli, consulta la nostra roadmap.