تعديلات FedCM: مرحلة التجربة والتقييم لإعادة المصادقة التلقائية

تقديم بعض التعديلات على FedCM، بما في ذلك فترة تجريبية جديدة للمصدر لإعادة المصادقة تلقائيًا

Federated Credential Management API (FedCM) هي web API لحماية الخصوصية من خلال ميزة اتحاد الهوية. من خلال اتحاد الهوية، يعتمد الجهة المحظورة (الجهة المعتمَدة) على موفِّر هوية (IdP) ليوفّر للمستخدم بدون الحاجة إلى اسم مستخدم وكلمة مرور جديدين.

وFedCM هي واجهة برمجة تطبيقات مصممة لغرض يسمح للمتصفح بفهم السياق معلومات تبادُل موفِّر الهوية (RP) وموفِّر الهوية (idP)، التي تنقل المستخدم إلى المعلومات ومستويات الامتيازات التي تتم مشاركتها، ومنع أي إساءة استخدام غير مقصودة.

التحديثات

هناك بعض التعديلات على تنفيذ بروتوكول FedCM في Chrome:

للحصول على جميع التحديثات السابقة لواجهة برمجة التطبيقات، اطلع على Federated Credential Management تحديثات واجهة برمجة التطبيقات:

يتضمن أحدث إصدار من FedCM ميزة جديدة لإعادة المصادقة تلقائيًا، والتي تتيح إعادة المصادقة على المستخدمين تلقائيًا عند عودتهم بعد المصادقة الأولية باستخدام FedCM. تتوفّر إعادة المصادقة التلقائية كفترة تجريبية للمصدر بدءًا من الإصدار 112 من Chrome.

إعادة المصادقة التلقائية

في الوقت الحالي، بعد أن ينشئ المستخدم حسابًا اتحاديًا في جهة محظورة باستخدام موفِّر هوية (IdP) عبر FedCM، في المرة القادمة التي يزور فيها موقع الويب الذي يحتاجون إليه لاتباع نفس الخطوات في واجهة المستخدم. أي أنهم بحاجة إلى التأكيد وإعادة المصادقة على متابعة تدفق تسجيل الدخول. باعتبارها إحدى الأدوات الرئيسية التي تتمثل أهداف FedCM في منع التتبّع السري، تكون تجربة المستخدم (UX) هذه منطقية قبل المستخدم قد أنشأ الحساب الموحّد، لكنه أصبح غير ضروري ومرهق بعد أن يقوم المستخدم مررنا بها مرة واحدة. بعد أن يمنح المستخدم الإذن للسماح بالاتصال بين الجهة المحظورة وموفِّر الهوية، ما مِن مزايا تتعلّق بالخصوصية أو الأمان فرض تأكيد صريح آخر من المستخدم على شيء يحصلون عليه تم إقراره بالفعل. ولهذا السبب يقدم Chrome نظامًا متطورًا تجربة مستخدم يمكن للجهات المحظورة اختيارها للمستخدمين المكرّري الزيارة

إعادة المصادقة التلقائية من خلال FedCM إعادة مصادقة المستخدمين تلقائيًا (عند موافقة الجهات المحظورة) عند عودتهم بعد المصادقة الأولية باستخدام برنامج FedCM. "البداية مصادقة" تعني هنا أنّ المستخدم ينشئ حسابًا أو يسجّل الدخول إلى حساب الجهة المحظورة موقعك الإلكتروني من خلال النقر على الزر "متابعة باسم..." في مربّع حوار تسجيل الدخول في FedCM. لأول مرة على مثيل المتصفح نفسه.

مربّع حوار ينقر عليه المستخدم لإنشاء حساب أو للمصادقة
مربّع حوار ينقر عليه المستخدم لإنشاء حساب أو للمصادقة.

يمكن للجهة المحظورة طلب إعادة المصادقة التلقائية من خلال الاتصال بـ navigator.credentials.get() باستخدام autoReauthn: true.

const cred = await navigator.credentials.get({
  identity: {
    providers: [{
      configURL: "https://idp.example/fedcm.json",
      clientId: "1234",
    }],
    // NOTE: We are exploring different API options to expose this
    // functionality here:
    // https://github.com/fedidcg/FedCM/issues/429#issuecomment-1426358523
    // You should expect that, as a result of the origin trial, we'll
    // learn more from developers and browser vendors what works best here.
    autoReauthn: true, // default to false
  },
});

خلال هذه المكالمة، تحدث إعادة المصادقة التلقائية وفقًا للشروط التالية:

  • ويتوفّر FedCM للاستخدام. على سبيل المثال، لم يوقف المستخدم FedCM أيضًا على المستوى العالمي أو إلى الجهة المحظورة
  • استخدم المستخدم حسابًا واحدًا فقط على FedCM لتسجيل الدخول إلى الموقع الإلكتروني على هذا المتصفح.
  • سجَّل المستخدم الدخول إلى موفِّر الهوية باستخدام هذا الحساب.
  • لم تتم إعادة المصادقة التلقائية خلال آخر 10 دقائق.

عند استيفاء الشروط المذكورة أعلاه، يمكن محاولة إعادة مصادقة يبدأ تشغيل المستخدم فور استدعاء navigator.credentials.get() في FedCM.

مستخدم يعيد المصادقة تلقائيًا إلى جهة محظورة باستخدام برنامج "المراسلة عبر السحابة الإلكترونية من Firebase"

جرّبه الآن

يمكنك تجربة إعادة المصادقة التلقائية لبرنامج FedCM محليًا من خلال تفعيل متصفّح Chrome علامة chrome://flags#fedcm-auto-re-authn مفعَّلة الإصدار 112 من Chrome أو الإصدارات الأحدث

لأغراض الاختبار، يمكنك إعادة ضبط فترة الانتظار التي تبلغ 10 دقائق عن طريق إزالة بيانات المتصفح.

  1. الانتقال إلى chrome://history
  2. في مربّع سجلّ البحث، أدخِل مصدر الجهة المحظورة.
  3. انقر على رمز النقاط الثلاث ⋮ ثم على الإزالة من السجلّ.
  4. أعِد تشغيل متصفّح Chrome.

المشاركة في مرحلة التجربة والتقييم

يمكنك أيضًا تفعيل الميزة على موقعك الإلكتروني من خلال الانضمام إلى الجهة الخارجية. مرحلة التجربة والتقييم متاحة من الإصدار 112 من Chrome من خلال Chrome 114.

تتيح لك تجارب المصدر تجربة ميزات جديدة وتقديم ملاحظات حول سهولة استخدامها وعملها العملي وفعاليتها في منتدى معايير الويب. لمزيد من المعلومات، يُرجى الاطّلاع على دليل الإصدارات التجريبية للمطوّرين على الويب. للاشتراك في مرحلة التجربة والتقييم هذه أو غير ذلك، يُرجى الانتقال إلى صفحة التسجيل.

للتسجيل في مصدر الجهة الخارجية الفترة التجريبية وتفعيل الميزة على أطراف ثالثة:

  1. انتقِل إلى صفحة التسجيل في مرحلة التجربة والتقييم.
  2. انقر على الزر تسجيل واملأ النموذج لطلب رمز مميّز.
  3. أدخِل مصدر العرض على أنّه مصدر الويب.
  4. تحقَّق من مطابقة الجهات الخارجية لإدخال الرمز المميّز مع JavaScript على مصادر أخرى.
  5. انقر على إرسال.
  6. تضمين الرمز المميّز الذي تم إصداره على جهة خارجية

لتضمين الرمز المميّز في جهة خارجية، أضِف الرمز التالي إلى JavaScript المكتبة أو حزمة تطوير البرامج (SDK) التي يتم عرضها من مصدر الموقع الإلكتروني المسجَّل.

const tokenElement = document.createElement('meta');
tokenElement.httpEquiv = 'origin-trial';
tokenElement.content = 'TOKEN_GOES_HERE';
document.head.appendChild(tokenElement);

استبدِل TOKEN_GOES_HERE بالرمز المميّز الخاص بك.

التفاعل مع الملاحظات ومشاركتها

إذا كانت لديك ملاحظات أو واجهت أي مشاكل أثناء الاختبار، يمكنك مشاركتها على crbug.com. ضمن مكوّن Blink>Identity>FedCM.

تصوير أليكس Perz في إلغاء البداية