Auf dieser Seite werden die Vorteile von FedCM, wer FedCM implementieren sollte und wie Nutzer mit FedCM interagieren erläutert.
Federated Credential Management (FedCM) ist ein datenschutzorientierter und nutzerfreundlicher Ansatz für föderierte Identitätsdienste (z. B. Über Identitätsanbieter anmelden), der nicht auf Drittanbieter-Cookies oder Navigationsweiterleitungen basiert.
Mit FedCM wird Nutzern eine neue Möglichkeit zur Authentifizierung bei einem externen Identitätsanbieter auf einer Website geboten.
Was ist Identitätsföderation?
Bei der Identitätsföderation wird die Authentifizierung oder Autorisierung einer Person (Nutzer oder Identität) an einen vertrauenswürdigen externen Identitätsanbieter (IdP) delegiert. Der Identitätsanbieter ermöglicht es der Person dann, sich auf der Website einer vertrauenden Partei anzumelden. Bei der Identitätsföderation verlässt sich ein RP auf einen IdP, um dem Nutzer ein Konto zur Verfügung zu stellen, ohne dass ein neuer Nutzername und ein neues Passwort erforderlich sind.
Bei Lösungen für die föderierte Identität muss der Nutzer nicht für jede RP ein weiteres Anmeldedatenset erstellen. Das verbessert die Nutzerfreundlichkeit, verringert die Wahrscheinlichkeit von Phishing und hilft dem RP, verifizierte Nutzerinformationen von vertrauenswürdigen Identitätsanbietern zu erhalten.
Konventionelle Lösungen und Drittanbieter-Cookies
Herkömmliche Mechanismen zur Identitätsföderation basieren auf iFrames, Weiterleitungen oder Drittanbieter-Cookies, was zu Datenschutzbedenken führt. Diese Lösungen können genutzt werden, um Nutzer im Web zu verfolgen. Browser können nicht zwischen legitimen Identitätsdiensten und unerwünschter Überwachung unterscheiden.
Aus Datenschutzgründen schränken die wichtigsten Browser die Verwendung von Drittanbieter-Cookies ein. Dies kann sich auf einige Funktionen auswirken. Durch die Bemühungen der Community und unsere Recherchen haben wir herausgefunden, dass einige Integrationen im Zusammenhang mit der Identity-Föderation von Einschränkungen für Drittanbieter-Cookies betroffen sind.
Identitätsföderation mit FedCM
FedCM ist protokollunabhängig: Es kann als eigenständige Lösung oder als zusätzliche Ebene implementiert werden, die von verschiedenen Protokollen genutzt werden kann. Ein funktionsfähiger OAuth-Server kann beispielsweise von der browserbasierten One-Tap-Anmeldung und der intuitiven Benutzeroberfläche von FedCM profitieren, indem er FedCM-Endpunkte implementiert und dann den in der FedCM-Antwort zurückgegebenen Autorisierungscode gegen ein OAuth-Zugriffstoken eintauscht.
Warum benötigen wir FedCM?
Im Vergleich zu herkömmlichen Lösungen bietet sie mehrere Vorteile für das Web-Ökosystem, die auf Nutzer, RP- und IdP-Entwickler zugeschnitten sind.
Unterstützung von Identitätslösungen ohne Drittanbieter-Cookies
FedCM kann dazu beitragen, die Abhängigkeit von Drittanbieter-Cookies zu verringern, die häufig verwendet werden, um Nutzer im Web zu tracken. Die API bietet eine personalisierte Anmeldung, auch wenn keine Drittanbieter-Cookies verfügbar sind (z. B. im Inkognitomodus).
FedCM ist auch in andere Privacy Sandbox-APIs eingebunden. Die Storage Access API verwendet beispielsweise die FedCM-Authentifizierung als Vertrauenssignal. Diese Integration ist für Websites nützlich, die sowohl FedCM für die Authentifizierung als auch die SAA verwenden, um den Zugriff auf erforderlichen Speicher in ursprungsübergreifenden iFrames zu ermöglichen.
Verbesserte Nutzerfreundlichkeit
Mit FedCM wird ein vom Browser vermitteltes UI-Dialogfeld für einen vereinfachten One-Tap-Anmeldevorgang eingeführt. Die API behebt auch das Problem überladener Anmeldeseiten, das manchmal als NASCAR-Problem bezeichnet wird.
Anstelle einer überwältigenden Anzahl von Schaltflächen für die Anmeldung über soziale Netzwerke bietet FedCM eine einfachere, nutzerfreundliche Oberfläche.
Sicherheit
Mit dem Ansatz der föderierten Identität können Nutzer vertrauenswürdige Konten verwenden, die von Identitätsanbietern verwaltet werden. Bei diesem Ansatz müssen Nutzer nicht auf jeder Website Anmeldedaten hinzufügen. So wird die Angriffsfläche für Phishing-Angriffe verringert. Außerdem können sich RPs anstelle der Implementierung eigener robuster Sicherheitsmaßnahmen auf das Know-how von IdPs verlassen, die sich auf die sichere Identitätsverwaltung spezialisiert haben.
FedCM soll den Ablauf für föderierte Identitäten für Nutzer noch komfortabler machen und sie dazu anregen, ihn gegenüber weniger sicheren Identitätsabläufen zu bevorzugen.
Personalisierte Nutzung für mehr Nutzer
FedCM reduziert die Reibung bei der Nutzererfahrung während der Kontoanmeldung. Die Fallstudien des Google Identity Service zeigen, dass Nutzer es bevorzugen, Konten mit dem One Tap-Ablauf von FedCM zu erstellen, anstatt sich in mehreren Schritten anzumelden.
Mit FedCM können mehr IdPs ihren Nutzern eine One-Tap-Anmeldung anbieten. Da immer mehr Identitätsanbieter einen One-Tap-Identitätsfluss anbieten, können Nutzer auf RPs aus einer größeren Auswahl an Identitätsanbietern wählen. FedCM bietet einen verbesserten Mechanismus zur Auswahl des Identitätsanbieters, indem den Nutzern die relevantesten Konten präsentiert werden.
Bei höheren Anmelderaten können RPs mehr Nutzern eine personalisierte Erfahrung bieten.
Unterstützung verschiedener Identitätsanbieter
Die vereinfachte Benutzeroberfläche von FedCM soll Nutzern eine personalisierte Liste der relevanten Identitätsanbieter präsentieren. Mit dem FedCM-Mechanismus zur Auswahl von Identitätsanbietern ist die Auswahl von Identitätsanbietern durch vertrauende Parteien nicht mehr darauf beschränkt, wie groß die Nutzerbasis des Identitätsanbieters ist. Ein Teil der Nutzer hat beispielsweise möglicherweise nur ein Konto bei small-idp.example und nicht bei bigger-idp.example.
Mit der Funktion für mehrere Identitätsanbieter kann rp.example sowohl small-idp.example als auch bigger-idp.example unterstützen, ohne die Benutzeroberfläche zu überladen. Das bietet folgende Vorteile für alle Beteiligten:
- Nutzer können ihren bevorzugten Identitätsanbieter auswählen, unabhängig davon, wie groß oder klein er ist.
- RPs erreichen durch die Unterstützung verschiedener IdPs mehr Nutzer
- IdPs mit einer kleineren Nutzerbasis sind auf mehr RPs verfügbar.
Für wen ist FedCM geeignet?
Wir gehen davon aus, dass FedCM nur dann für Sie nützlich ist, wenn die folgenden Bedingungen erfüllt sind:
- Sie sind ein Identitätsanbieter (IdP) mit externen RPs.
- Sie haben eine eigene Identitätslösung und mehrere Domains, die darauf basieren.
- Sie möchten föderierte Identitätsabläufe auch für Nutzer unterstützen, die ohne Drittanbieter-Cookies surfen.
Sie sind ein IdP
FedCM erfordert die Unterstützung durch einen Identitätsanbieter. Eine vertrauende Partei kann FedCM nicht unabhängig verwenden. Wenn Sie ein RP sind, können Sie Ihren IdP bitten, eine Anleitung bereitzustellen.
Mehrere RPs
Wenn Ihre RPs von Drittanbietern stammen oder Sie mehr als vier RPs verwenden, die Ihre Identitätslösung nutzen, ist FedCM die empfohlene API für die föderierte Identität.
Sie möchten den cookielosen Identitätsföderationsablauf unterstützen.
FedCM unterstützt wichtige Abläufe für föderierte Identitäten auch für Nutzer, die ohne Drittanbieter-Cookies im Internet surfen. Mit FedCM können sich Nutzer weiterhin mit ihren föderierten Konten bei RPs registrieren, anmelden und abmelden.
Außerdem dient FedCM als Vertrauenssignal für die Storage Access API, wodurch Reibung bei von IdPs initiierten Speicherzugriffsanfragen vermieden wird.
Nutzerinteraktion mit FedCM
FedCM ist so konzipiert, dass es unabhängig vom Authentifizierungsprotokoll ist und dem Nutzer einen neuen Ablauf zur Authentifizierung bei einem RP mit einem Drittanbieter-IdP bietet. FedCM-Demo ausprobieren
Bei einer vertrauenden Seite anmelden
Nutzer können ein Konto aus einer Reihe von Identitätsanbietern auswählen, die vom RP unterstützt werden. Wenn der Nutzer mit mehreren IdPs angemeldet ist, wird er aufgefordert, sich mit einem davon beim RP anzumelden.
Die Konten des Nutzers werden in der folgenden Reihenfolge angezeigt:
- Konten, auf die auf dem Gerät des Nutzers zugegriffen wurde, werden zuerst angezeigt, wobei die zuletzt aufgerufenen Konten an erster Stelle stehen.
- Als Nächstes werden Konten angezeigt, auf die der Nutzer auf der vertrauenden Partei gemäß dem Identitätsanbieter zugegriffen hat. Die Informationen dazu, auf welche Konten zugegriffen wurde, werden aus dem Eigenschaftswert des
approved_clients-Kontoendpunkts extrahiert. - Konten, die noch nicht auf dem RP verwendet wurden, werden zuletzt angezeigt.
Wenn es in einer dieser Prioritätsstufen mehrere Konten gibt, werden diese Konten anhand der Reihenfolge der vom RP im get()-Aufruf bereitgestellten IdPs sortiert.
FedCM-UI-Modi
FedCM hat zwei Benutzeroberflächenmodi: Passiv und Aktiv.
Passiver Modus: Im passiven Modus ist keine Nutzerinteraktion erforderlich, damit der FedCM-Prompt angezeigt wird. Wenn der Nutzer auf der Website der vertrauenden Partei (Relying Party, RP) landet, wird ein FedCM-Anmeldedialogfeld angezeigt, wenn navigator.credentials.get() aufgerufen wird und die folgenden Bedingungen erfüllt sind:
- Der Nutzer ist bei mindestens einem der unterstützten Identitätsanbieter angemeldet. Wenn der Status des Nutzers für alle verfügbaren Identitätsanbieter als „abgemeldet“ protokolliert wird, wird die FedCM-Anmeldeaufforderung nicht automatisch angezeigt.
- Die FedCM-Sperreinstellung ist im Browser des Nutzers nicht festgelegt.
- Der Nutzer hat FedCM nicht in seinen Browsereinstellungen deaktiviert. Weitere Informationen dazu, wie Nutzer FedCM deaktivieren können
Aktiver Modus: Im aktiven Modus ist eine vorübergehende Nutzeraktivierung (z. B. durch Klicken auf die Schaltfläche Mit… anmelden) erforderlich, um eine FedCM-Aufforderung auszulösen.
Der Nutzer kann die Anmeldung abschließen, indem er auf Als Nutzer fortfahren tippt. Bei Erfolg speichert der Browser die Information, dass der Nutzer ein föderiertes Konto beim RP mit dem IdP erstellt hat.
Wenn der Nutzer kein Konto beim RP mit dem IdP hat, wird ein Registrierungsdialogfeld mit zusätzlichem Offenlegungstext wie den Nutzungsbedingungen und der Datenschutzerklärung des RP angezeigt.
Einhaltung der E‑Privacy-Gesetze
Die Verwendung von FedCM als Identitätsanbieter oder als vertrauende Partei beinhaltet die Speicherung von Informationen auf dem Endgerät eines Nutzers oder den Zugriff auf Informationen, die bereits auf dem Endgerät gespeichert sind. Daher unterliegt sie den ePrivacy-Gesetzen im Europäischen Wirtschaftsraum (EWR) und im Vereinigten Königreich, die in der Regel die Einwilligung des Nutzers erfordern. Es liegt in Ihrer Verantwortung, festzustellen, ob die Verwendung von FedCM unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich angeforderten Onlinedienst bereitzustellen, und daher von der Einwilligungspflicht ausgenommen ist.
Vision
Wir entwickeln aktiv neue Funktionen, um die aktuellen Einschränkungen zu beheben und die Nutzerfreundlichkeit zu verbessern.
- Wir arbeiten an einer unaufdringlicheren Benutzeroberfläche, um Nutzern einen reibungslosen, intuitiven und weniger störenden Authentifizierungsprozess zu ermöglichen.
- Wir arbeiten kontinuierlich daran, den Datenschutz für Nutzer zu verbessern. Wir planen, auf das delegationsorientierte NextGen FedCM-Modell umzustellen, das das IdP-Tracking-Problem behebt. Mit NextGen können sich Nutzer bei RPs anmelden, ohne dass der IdP dem Nutzer folgt.
- FedCM soll Nutzern eine größere Auswahl an Identitätsanbietern bieten, basierend auf der Auswahl der vertrauenden Partei. Dazu arbeiten wir an den APIs für mehrere IdPs und die IdP-Registrierung.
- Wir arbeiten aktiv daran, FedCM in andere Authentifizierungsmethoden wie Passkeys zu integrieren und zusätzliche Funktionen wie Autofill einzuführen, um eine einheitliche Authentifizierung zu ermöglichen.
Weitere Informationen finden Sie in unserer Roadmap.