Migra de Google Identity Toolkit a Identity Platform de Google Cloud

La versión más reciente de Google Identity Toolkit se lanzó como Identity Platform y Firebase Authentication. En el futuro, se congelará el trabajo de funciones en Identity Toolkit; todo el desarrollo de funciones nuevas se realizará en Identity Platform y Firebase Authentication. Recomendamos a los desarrolladores de Identity Toolkit que se trasladen a estas plataformas en cuanto sea práctico para sus aplicaciones.

Nuevas funciones

Identity Platform ya tiene mejoras significativas en las funciones en comparación con Google Identity Toolkit:

  • Nueva Consola del administrador

    Identity Platform tiene una nueva consola para desarrolladores que te permite ver, modificar y borrar a tus usuarios, lo que puede ser útil para depurar tus flujos de acceso y registro. La consola también te permite configurar métodos de autenticación y personalizar plantillas de correo electrónico.

  • Nuevos métodos de autenticación

    Identity Platform admite estándares de federación empresarial, como SAML y OIDC, lo que te permite escalar apps y servicios de SaaS. Identity Platform también ofrece compatibilidad con proveedores como GitHub, Microsoft, Yahoo y muchos más. Puedes usar el acceso anónimo para crear un ID de usuario único sin requerir que el usuario realice ningún proceso de acceso o registro. Esto te permite realizar llamadas a la API autenticadas como lo harías con un usuario normal. Cuando el usuario decide registrarse para obtener una cuenta, se conserva toda la actividad con el mismo ID de usuario. Esto es útil para situaciones como los carritos de compras del servidor o en otras aplicaciones en las que quieras atraer al usuario antes de enviarlo a un flujo de registro.

  • Escala con confianza con los Acuerdos de Nivel de Servicio y la asistencia de Cloud

    Identity Platform se basa en la infraestructura de confianza de Google y proporciona Acuerdos de Nivel de Servicio y asistencia de Google Cloud. Esto significa que puedes escalar tu servicio con confianza y confiar en que Google proporcionará la resiliencia, disponibilidad y escalabilidad que necesitas.

  • Acceso a todo Firebase

    Firebase es una plataforma para dispositivos móviles que te permite desarrollar rápidamente apps de alta calidad, ampliar tu base de usuarios y ganar más dinero. Firebase se compone de funciones complementarias que puedes combinar para satisfacer tus necesidades y que incluyen infraestructura para lo siguiente: analytics para dispositivos móviles, cloud messaging, realtime database, file storage, static hosting, remote configuration, crash reporting para dispositivos móviles y testing de Android.

  • Actualización de las IU

    Reconstruimos por completo los flujos de la IU según la investigación sobre UX más reciente de Google. Esto incluye la recuperación de contraseñas, la vinculación de cuentas y los flujos de desambiguación de cuentas nuevas o existentes, que suelen requerir mucho tiempo para programar y depurar. Integra Smart Lock para contraseñas en Android, lo que mejoró significativamente la conversión de acceso y registro para las apps participantes. También admite modificaciones sencillas de temas para que coincidan con tu aplicación y, para obtener la máxima personalización, las versiones de Android y de iOS son de código abierto.

  • Configuración simplificada del servidor

    Con Identity Toolkit, vimos que muchos desarrolladores decidieron no implementar el flujo de recuperación de correo electrónico, lo que imposibilitó que sus usuarios recuperaran sus cuentas si olvidaban la contraseña. Identity Platform puede enviar mensajes de verificación por correo electrónico, restablecimiento de contraseña y cambio de contraseña al usuario, y el texto se puede personalizar fácilmente para tus usuarios. Además, ya no necesitas alojar los widgets de IU para alojar redireccionamientos y completar operaciones de cambio de contraseña.

  • SDKs nuevos

    Todas las APIs de servidor de Identity Toolkit ya están disponibles de forma nativa con cada una de nuestras bibliotecas cliente (Android, iOS y Web). Los desarrolladores podrán acceder y registrar usuarios nuevos y existentes, acceder a las propiedades de los usuarios, vincular, actualizar y borrar cuentas, restablecer contraseñas y mucho más sin estar vinculados a una IU fija. Si lo prefieres, puedes compilar manualmente todo tu flujo de acceso y experiencia sobre esta API.

  • Administración de sesiones para apps para dispositivos móviles

    Con Identity Toolkit, las apps creaban su propio estado de sesión en función del evento de autenticación inicial de Identity Toolkit. Identity Platform usa un servicio de backend que toma un token de actualización, creado a partir del evento de autenticación, y lo intercambia por tokens de acceso de una hora para Android, iOS y JavaScript. Cuando un usuario cambia su contraseña, los tokens de actualización ya no podrán generar tokens de acceso nuevos, lo que inhabilita el acceso hasta que el usuario vuelva a autenticarse en ese dispositivo.

Diferencias entre las funciones

Por el momento, algunas funciones de Identity Toolkit no están disponibles en Identity Platform, mientras que otras se rediseñaron y funcionan de manera diferente. Es posible que decidas no migrar de inmediato si estas funciones son importantes para tu app. En muchos casos, es posible que estas funciones no sean importantes para tu app o que haya resguardos sencillos que te permitan continuar con la migración.

Diferencias en el servidor

El servicio principal de Identity Toolkit con sus APIs de REST subyacentes, la lógica de validación de cuentas y la base de datos de usuarios principal solo recibieron actualizaciones menores. Sin embargo, algunas funciones y la forma en que integras Identity Platform en tu servicio cambiaron.

  • Proveedores de identidad

    No se admiten PayPal ni AOL. Los usuarios con cuentas de estos IdP pueden seguir accediendo a tu aplicación con el flujo de recuperación de contraseñas y configurar una contraseña para su cuenta.

  • Bibliotecas del servidor

    Actualmente, hay SDK de Admin disponibles para Java, Node.js, Python, Go y C#.

  • Correos electrónicos de administración de la cuenta

    Firebase o el propio servidor de correo electrónico del desarrollador pueden enviar mensajes de restablecimiento de contraseña, verificación por correo electrónico y cambio de correo electrónico. Actualmente, las plantillas de correo electrónico solo ofrecen una personalización limitada desde la IU, pero se pueden personalizar aún más con los SDK de Admin.

  • Confirmación del cambio de dirección de correo electrónico

    En Identity Toolkit, cuando un usuario decide cambiar su dirección de correo electrónico, se envía un correo electrónico a la nueva dirección con un vínculo para continuar con el flujo de cambio de dirección de correo electrónico.

    Firebase confirma el cambio de dirección de correo electrónico enviando un mensaje de revocación a la dirección de correo electrónico anterior con un vínculo para revertir el cambio.

  • Lanzamiento del IDP

    Identity Toolkit tenía la capacidad de agregar proveedores de identidad a tu sistema de acceso de forma gradual, para que pudieras experimentar con el impacto en tus solicitudes de asistencia. Esta función se quitó de Firebase Authentication.

Diferencias del lado del cliente

En Identity Platform, las funciones que proporciona Google Identity Toolkit se dividen en dos componentes:

  • SDKs de cliente y servidor

    En Identity Platform, la funcionalidad que proporciona la API de REST de Identity Toolkit se empaquetó en SDK de cliente disponibles para Android, iOS y JavaScript. Puedes usar el SDK para que los usuarios accedan y se registren, acceder a la información de sus perfiles, vincular, actualizar y borrar cuentas, y restablecer contraseñas con el SDK de cliente en lugar de comunicarte con el servicio de backend a través de llamadas de REST.

  • Widget de IU

    Todos los flujos de IU que administran el acceso, el registro, la recuperación de contraseñas y la vinculación de cuentas se volvieron a compilar con los SDKs de cliente y se empaquetaron como un widget de acceso. Están disponibles como SDK de código abierto para iOS, Android y la Web, y te permiten personalizar por completo los flujos de formas que no son posibles con Identity Toolkit.

Entre las diferencias adicionales, se incluyen las siguientes:

  • Sesiones y migración

    Debido a que las sesiones se administran de manera diferente en Identity Toolkit y en Identity Platform, las sesiones existentes de tus usuarios se cerrarán cuando actualices el SDK, y los usuarios deberán volver a acceder.

Antes de comenzar

Antes de migrar de Identity Toolkit a Identity Platform, debes hacer lo siguiente:

  1. Abre la consola de Cloud y selecciona tu proyecto de Identity Toolkit.

  2. En Marketplace, navega a Identity Platform y selecciona "Habilitar Identity Platform".

  3. Abre la Cuentas de servicio. Aquí puedes ver la cuenta de servicio que configuraste antes para Identity Toolkit.

  4. Junto a la cuenta de servicio, haz clic en > Crear clave. Luego, en el diálogo Crear clave privada, establece el tipo de clave en JSON y haz clic en Crear. Se descargará un archivo JSON que contiene las credenciales de tu cuenta de servicio. Necesitarás este valor para inicializar el SDK en el siguiente paso.

  5. Regresa a la consola de Cloud. En la sección Proveedores, dentro del método de acceso "Correo electrónico/contraseña", abre la página Plantillas de correo electrónico. Luego, puedes personalizar las plantillas de tu app.

    En Identity Toolkit, cuando los usuarios restablecían contraseñas, cambiaban direcciones de correo electrónico o verificaban sus direcciones de correo electrónico, debías obtener un código OOB del servidor de Identity Toolkit y, luego, enviarlo a los usuarios por correo electrónico. Identity Platform envía correos electrónicos según las plantillas que configures sin que se requieran acciones adicionales.

  6. Opcional: Si necesitas acceder a los servicios de Identity Platform en tu servidor, instala el SDK de Firebase.

    1. Puedes instalar el SDK de Admin para Node.js con npm:

      $ npm init
$ npm install --save firebase-admin

    2. En tu código, puedes acceder a Firebase con lo siguiente:

      var admin = require('firebase-admin');
var app = admin.initializeApp({
  credential: admin.credential.cert('path/to/serviceAccountCredentials.json')
});

A continuación, completa los pasos de migración para la plataforma de tu app: Android, iOS o Web.

Servidores y JavaScript

Cambios importantes

Existen varias diferencias adicionales en la implementación web de Identity Platform desde Identity Toolkit.

  • Administración de sesiones web

    Anteriormente, cuando un usuario se autenticaba con el widget de Identity Toolkit, se establecía una cookie para el usuario que se usaba para iniciar la sesión. Esta cookie tenía una duración de dos semanas y se usaba para permitir que el usuario utilizara el widget de administración de cuentas para cambiar la contraseña y la dirección de correo electrónico. Algunos sitios usaban esta cookie para autenticar todas las demás solicitudes de páginas en el sitio. Otros sitios usaron la cookie para crear sus propias cookies a través del sistema de administración de cookies de su framework.

    Los SDK de cliente de Identity Platform ahora administran los tokens de ID y funcionan con el backend de Identity Platform para mantener la sesión actualizada. El backend vence las sesiones cuando se producen cambios importantes en la cuenta (como cambios en la contraseña del usuario). Los tokens de ID no se configuran automáticamente como cookies en el cliente web y solo tienen una hora de vida útil. A menos que desees sesiones de solo una hora, los tokens de ID no son adecuados para usarse como la cookie para validar todas las solicitudes de página. En su lugar, deberás configurar un objeto de escucha para cuando el usuario esté conectado, obtener el token de ID, validar el token y crear tu propia cookie a través del sistema de administración de cookies de tu framework.

    Deberás establecer el tiempo de vida de la sesión de tu cookie según las necesidades de seguridad de tu aplicación.

  • Flujo de acceso web

    Anteriormente, se redireccionaba a los usuarios a accountchooser.com cuando se iniciaba el acceso para saber qué identificador quería usar el usuario. El flujo de la IU de Identity Platform ahora comienza con una lista de métodos de acceso, incluida una opción de correo electrónico que va a accountchooser.com para la Web y usa la API de hintRequest en Android. Además, ya no se requieren direcciones de correo electrónico en la IU. Esto facilitará la compatibilidad con usuarios anónimos, usuarios de autenticación personalizada o usuarios de proveedores en los que no se requieren direcciones de correo electrónico.

  • Widget de administración de cuentas

    Este widget proporciona una IU para que los usuarios cambien sus direcciones de correo electrónico, cambien sus contraseñas o desvinculen sus cuentas de los proveedores de identidad. Actualmente, está en desarrollo.

  • Botón o widget de acceso

    Ya no se proporcionan widgets como el botón de acceso y la tarjeta de usuario. Se pueden compilar con mucha facilidad usando la API de Firebase Authentication.

  • No hay signOutUrl

    Deberás llamar a firebase.auth.signOut() y controlar la devolución de llamada.

  • No hay oobActionUrl

    Ahora, Identity Platform controla el envío de correos electrónicos, que se configura en Firebase console.

  • Personalización de CSS

    El widget de IU usa el estilo de Material Design Lite, que agrega animaciones de Material Design de forma dinámica.

Paso 1: Cambia el código del servidor

  1. Si tu servidor depende del token de Identity Toolkit (válido durante dos semanas) para administrar las sesiones de los usuarios web, debes convertir el servidor para que use su propia cookie de sesión.

    1. Implementa un extremo para validar el token de ID y configurar la cookie de sesión para el usuario. La app cliente envía el token de ID de Firebase a este extremo.
    2. Si la solicitud entrante contiene tu propia cookie de sesión, puedes considerar que el usuario está autenticado. De lo contrario, trata la solicitud como no autenticada.
    3. Si no quieres que ninguno de tus usuarios pierda sus sesiones de acceso existentes, debes esperar dos semanas para que venzan todos los tokens de Identity Toolkit o también realizar la validación de tokens doble para tu aplicación web, como se describe a continuación en el paso 3.

  2. Luego, como los tokens de ID son diferentes de los tokens de Identity Toolkit, debes actualizar tu lógica de validación de tokens. Instala el SDK de Admin en tu servidor o, si usas un lenguaje que no es compatible con el SDK de Admin, descarga una biblioteca de validación de tokens JWT para tu entorno y valida el token correctamente.

  3. Cuando realices las actualizaciones anteriores por primera vez, es posible que aún tengas instrucciones de código que dependan de los tokens de Identity Toolkit. Si tienes aplicaciones para iOS o Android, los usuarios deberán actualizar a la versión nueva de la app para que funcionen las nuevas instrucciones de código. Si no quieres obligar a los usuarios a actualizar la app, puedes agregar lógica de validación adicional del servidor que examine el token y determine si necesita usar el SDK de Firebase o el SDK de Identity Toolkit para validar el token. Si solo tienes una aplicación web, todas las solicitudes de autenticación nuevas se transferirán a Identity Platform y, por lo tanto, solo necesitarás usar los métodos de verificación de tokens de ID.

Consulta la referencia de la API web.

Paso 2: Actualiza tu HTML

  1. Agrega el código de inicialización a tu app:

    1. Abre tu proyecto en la consola de Cloud.
    2. En la página Proveedores, haz clic en Detalles de configuración de la aplicación. Se muestra un fragmento de código que inicializa Identity Platform.
    3. Copia y pega el fragmento de inicialización en tu página web.

  2. Agrega el widget de autenticación a tu app:

    <script src="https://www.gstatic.com/firebasejs/ui/live/0.4/firebase-ui-auth.js"></script>
<link type="text/css" rel="stylesheet" href="https://www.gstatic.com/firebasejs/ui/live/0.4/firebase-ui-auth.css" />
<!-- *******************************************************************************************
   * TODO(DEVELOPER): Paste the initialization snippet from:
   * Firebase Console > Overview > Add Firebase to your web app. *
   ***************************************************************************************** -->
<script type="text/javascript">
  // FirebaseUI config.
  var uiConfig = {
    'signInSuccessUrl': '<url-to-redirect-to-on-success>',
    'signInOptions': [
      // Leave the lines as is for the providers you want to offer your users.
      firebase.auth.GoogleAuthProvider.PROVIDER_ID,
      firebase.auth.FacebookAuthProvider.PROVIDER_ID,
      firebase.auth.TwitterAuthProvider.PROVIDER_ID,
      firebase.auth.GithubAuthProvider.PROVIDER_ID,
      firebase.auth.EmailAuthProvider.PROVIDER_ID
    ],
    // Terms of service url.
    'tosUrl': '<your-tos-url>',
  };

  // Initialize the FirebaseUI Widget using Firebase.
  var ui = new firebaseui.auth.AuthUI(firebase.auth());
  // The start method will wait until the DOM is loaded.
  ui.start('#firebaseui-auth-container', uiConfig);
</script>

  3. Quita el SDK de Identity Toolkit de tu app.

  4. Si usabas el token de ID de Identity Toolkit para administrar sesiones, debes realizar los siguientes cambios en el cliente:

    1. Después de acceder correctamente con Identity Platform, llama a firebase.auth().currentUser.getToken() para obtener un token de ID.

    2. Envía el token de ID al servidor de backend, valídalo y emite tu propia cookie de sesión.

      No dependas únicamente de la cookie de sesión cuando realices operaciones sensibles o envíes solicitudes de edición autenticadas a tu servidor. Deberás proporcionar protección adicional contra la falsificación de solicitudes entre sitios (CSRF).

      Si tu framework no proporciona protección contra CSRF, una forma de evitar un ataque sería obtener un token de ID para el usuario que accedió con getToken() y, luego, incluir el token en cada solicitud (la cookie de sesión también se enviará de forma predeterminada). Luego, validarías ese token con el SDK de Admin, además de la verificación de la cookie de sesión, que completó tu framework de backend. Esto dificultará que los ataques de CSRF tengan éxito, ya que el token de ID solo se almacena con el almacenamiento web y nunca en una cookie.

    3. Los tokens de Identity Toolkit son válidos durante dos semanas. Puedes seguir emitiendo tokens que duren dos semanas o puedes hacer que duren más o menos según los requisitos de seguridad de tu app. Cuando un usuario salga de la cuenta, borra la cookie de sesión.

Paso 3: Actualiza las URLs de redireccionamiento del IdP

  1. En la consola de Cloud, abre la sección Proveedores.

  2. Para cada proveedor de acceso federado que admitas, haz lo siguiente:

    1. Haz clic en el nombre del proveedor de acceso.
    2. Copia el URI de redireccionamiento de OAuth.
    3. En la consola para desarrolladores del proveedor de acceso, actualiza el URI de redireccionamiento de OAuth.

Android

Paso 1: Agrega Identity Platform a tu app con Firebase

  1. Abre la consola de Cloud y selecciona tu proyecto de Identity Toolkit.

  2. En la página Proveedores, haz clic en Detalles de configuración de la aplicación, selecciona la pestaña Android y, luego, haz clic en Comenzar en Firebase. En el diálogo Agregar Firebase, proporciona el nombre del paquete de tu app y la huella digital del certificado de firma, y haz clic en Agregar app. Luego, se descargará el archivo de configuración google-services.json en tu computadora.

  3. Copia el archivo de configuración en el directorio raíz del módulo de tu app para Android. Este archivo de configuración contiene información del proyecto y del cliente de OAuth de Google.

  4. En el archivo build.gradle de nivel de proyecto (<var>your-project</var>/build.gradle), especifica el nombre del paquete de tu app en la sección defaultConfig:

    defaultConfig {
   …..
  applicationId "com.your-app"
}

  5. También en el archivo build.gradle de nivel de proyecto, agrega una dependencia para incluir el complemento de los Servicios de Google:

    buildscript {
 dependencies {
   // Add this line
   classpath 'com.google.gms:google-services:3.0.0'
 }
}

  6. En el archivo build.gradle de nivel de app de tu app (<var>my-project</var>/<var>app-module</var>/build.gradle), agrega la siguiente línea después del complemento de Android para Gradle para habilitar el complemento de los Servicios de Google:

    apply plugin: 'com.android.application'
// Add this line
apply plugin: 'com.google.gms.google-services'

    El complemento de servicios de Google usa el archivo google-services.json para configurar tu aplicación de modo que use Firebase.

  7. También en el archivo build.gradle a nivel de la app, agrega la dependencia de Firebase Authentication:

    compile 'com.google.firebase:firebase-auth:25.0.0'
compile 'com.google.android.gms:play-services-auth:22.0.0'

Paso 2: Quita el SDK de Identity Toolkit

  1. Quita la configuración de Identity Toolkit del archivo AndroidManifest.xml. Esta información se incluye en el archivo google-service.json y la carga el complemento de los Servicios de Google.
  2. Quita el SDK de Identity Toolkit de tu app.

Paso 3: Agrega FirebaseUI a tu app

  1. Agrega FirebaseUI Auth a tu app.

  2. En tu app, reemplaza las llamadas al SDK de Identity Toolkit por llamadas a FirebaseUI.

iOS

Paso 1: Agrega Firebase a tu app

  1. Ejecuta los siguientes comandos para agregar el SDK de cliente a tu app:

    $ cd your-project directory
$ pod init
$ pod 'Firebase'

  2. Abre la consola de Cloud y selecciona tu proyecto de Identity Toolkit.

  3. En la página Proveedores, haz clic en Detalles de configuración de la aplicación, selecciona la pestaña iOS y, luego, haz clic en Comenzar en Firebase. En el cuadro de diálogo Agregar Firebase, proporciona el nombre del paquete de tu app y la huella digital del certificado de firma, y haz clic en Agregar app. Luego, se descargará el archivo de configuración google-services.json en tu computadora. En el cuadro de diálogo Agregar Firebase, proporciona el ID del paquete y el ID de la tienda de aplicaciones de tu app y, luego, haz clic en Agregar app. Luego, se descargará el archivo de configuración GoogleService-Info.plist en tu computadora. Si tienes varios IDs de paquete en tu proyecto, cada uno de ellos debe estar conectado en Firebase console para que pueda tener su propio archivo GoogleService-Info.plist.

  4. Copia el archivo de configuración en la raíz de tu proyecto de Xcode y agrégalo a todos los destinos.

Paso 2: Quita el SDK de Identity Toolkit

  1. Quita GoogleIdentityToolkit del Podfile de tu app.
  2. Ejecuta el comando pod install.

Paso 3: Agrega FirebaseUI a tu app

  1. Agrega FirebaseUI Auth a tu app.

  2. En tu app, reemplaza las llamadas al SDK de Identity Toolkit por llamadas a FirebaseUI.