Update FedCM: Uji coba origin untuk autentikasi ulang otomatis

Memperkenalkan beberapa update pada FedCM, termasuk uji coba origin baru untuk autentikasi ulang otomatis.

Federated Credential Management API (FedCM) adalah API web untuk penggabungan identitas yang menjaga privasi. Dengan penggabungan identitas, RP (pihak tepercaya) mengandalkan IdP (penyedia identitas) untuk memberikan akun tanpa memerlukan nama pengguna dan {i>password<i} baru.

FedCM adalah API yang dibuat khusus yang memungkinkan browser memahami konteks di mana RP dan IdP bertukar informasi, memberi tahu pengguna tentang informasi dan tingkat hak istimewa yang dibagikan dan mencegah penyalahgunaan yang tidak diinginkan.

Pembaruan

Terdapat beberapa pembaruan pada implementasi FedCM Chrome:

• Untuk pernyataan ID endpoint, IdP harus periksa header Origin (bukan header Referer) untuk melihat apakah cocok dengan origin client ID.
• Flag Chrome baru chrome://flags/#fedcm-without-third-party-cookies ditambahkan. Dengan penanda ini, Anda dapat menguji fungsi FedCM di Chrome dengan memblokir pihak ketiga cookie.

Untuk semua update API sebelumnya, lihat Federated Credential Management Update API.

FedCM versi terbaru menyertakan fitur autentikasi ulang otomatis yang baru, yang memungkinkan autentikasi ulang pengguna secara otomatis saat mereka kembali setelah autentikasi awal menggunakan FedCM. Autentikasi ulang otomatis tersedia sebagai uji coba origin mulai Chrome 112.

Autentikasi ulang otomatis

Saat ini, setelah pengguna membuat akun gabungan di RP dengan IdP melalui FedCM, saat mereka berkunjung lagi {i>website<i} mereka harus melalui langkah yang sama dalam antarmuka pengguna. Artinya, mereka perlu secara eksplisit mengkonfirmasi dan melakukan otentikasi ulang ke lanjutkan dengan alur login. Sebagai salah satu tujuan FedCM adalah untuk mencegah pelacakan tersembunyi, pengalaman pengguna (UX) ini masuk akal sebelum pengguna telah membuat akun gabungan, tetapi menjadi tidak diperlukan dan rumit setelah pengguna melewatinya sekali. Setelah pengguna memberikan izin untuk memungkinkan komunikasi antara RP dan IdP,  tidak ada manfaat privasi atau keamanan untuk menerapkan konfirmasi eksplisit lainnya dari pengguna untuk sesuatu yang mereka miliki telah diakui sebelumnya. Itulah mengapa Chrome memperkenalkan versi yang lebih efisien UX yang dapat dipilih RP untuk pengguna mereka yang kembali.

Autentikasi ulang otomatis FedCM (singkatnya ("auto-reauthn") mengautentikasi ulang pengguna secara otomatis (saat RP ikut serta), ketika mereka kembali setelah otentikasi awal menggunakan FedCM. "Nilai autentikasi" di sini berarti pengguna membuat akun atau masuk ke RP situs Anda dengan mengetuk tombol "Lanjutkan sebagai..." pada dialog login FedCM untuk pertama kalinya pada instance browser yang sama.

Dialog yang diketuk pengguna untuk membuat akun atau untuk melakukan autentikasi.

RP dapat meminta autentikasi ulang otomatis dengan memanggil navigator.credentials.get() dengan autoReauthn: true.

const cred = await navigator.credentials.get({
  identity: {
    providers: [{
      configURL: "https://idp.example/fedcm.json",
      clientId: "1234",
    }],
    // NOTE: We are exploring different API options to expose this
    // functionality here:
    // https://github.com/fedidcg/FedCM/issues/429#issuecomment-1426358523
    // You should expect that, as a result of the origin trial, we'll
    // learn more from developers and browser vendors what works best here.
    autoReauthn: true, // default to false
  },
});

Dengan panggilan ini, autentikasi ulang otomatis terjadi dalam kondisi berikut:

• FedCM tersedia untuk digunakan. Misalnya, pengguna belum menonaktifkan FedCM secara global atau untuk RP.
• Pengguna hanya menggunakan satu akun FedCM untuk login ke situs di browser ini.
• Pengguna login ke IdP dengan akun tersebut.
• Autentikasi otomatis tidak terjadi dalam 10 menit terakhir.

Jika kondisi di atas terpenuhi, upaya untuk mengautentikasi ulang objek pengguna memulai segera setelah navigator.credentials.get() FedCM dipanggil.

Pengguna mengautentikasi ulang otomatis ke RP menggunakan FedCM

Catatan: Untuk menghindari pengalaman autentikasi ulang otomatis yang membuat frustrasi segera setelah pengguna telah logout, sebaiknya desain alur logout yang akan mencegah hal tersebut. FedCM memiliki masa tenang 10 menit setelah otentikasi ulang otomatis mencegah perilaku ini. Kami juga sedang mempelajari pendekatan lain untuk mencapai hal ini seperti menggunakan CredentialsContainer.preventSilentAccess()

Cobalah

Anda dapat mencoba autentikasi ulang otomatis FedCM secara lokal dengan mengaktifkan Chrome tandai chrome://flags#fedcm-auto-re-authn di Chrome 112 atau yang lebih baru.

Untuk tujuan pengujian, Anda dapat mengatur ulang masa tenang 10 menit dengan menghapus data browser.

1. Buka chrome://history
2. Di kotak histori penelusuran, masukkan asal RP.
3. Klik ikon tiga titik ⋮ lalu pilih Hapus dari histori.
4. Mulai ulang Chrome.

Berpartisipasi dalam uji coba origin

Anda juga dapat mengaktifkan fitur tersebut di situs dengan bergabung ke pihak ketiga uji coba origin tersedia dari Chrome 112 hingga Chrome 114.

Uji coba origin memungkinkan Anda mencoba fitur baru dan memberikan masukan tentang kegunaan, kepraktisan, dan efektivitasnya kepada komunitas standar web. Untuk mengetahui informasi selengkapnya, lihat Panduan Uji Coba Origin untuk Developer Web. Untuk mendaftar ke uji coba origin ini atau lainnya, kunjungi halaman pendaftaran.

Untuk mendaftar asal pihak ketiga uji coba dan mengaktifkan fitur tersebut pada pihak ketiga:

1. Buka halaman pendaftaran uji coba origin.
2. Klik tombol Register lalu isi formulir untuk meminta token
3. Masukkan asal penayangan sebagai Web Origin.
4. Centang Pencocokan pihak ketiga untuk memasukkan token dengan JavaScript di origin lain.
5. Klik Kirim.
6. Sematkan token yang diterbitkan di pihak ketiga.

Untuk menyematkan token ke pihak ketiga, tambahkan kode berikut ke JavaScript Anda library atau SDK yang disalurkan dari asal situs yang terdaftar.

const tokenElement = document.createElement('meta');
tokenElement.httpEquiv = 'origin-trial';
tokenElement.content = 'TOKEN_GOES_HERE';
document.head.appendChild(tokenElement);

Ganti TOKEN_GOES_HERE dengan token Anda sendiri.

Catatan: Jika FedCM dijalankan langsung oleh RP tanpa memuat skrip IdP, RP harus mendaftarkan originnya sendiri untuk uji coba origin.

Berinteraksi dan memberikan masukan

Jika ada masukan atau mengalami masalah selama pengujian, Anda dapat menyampaikannya di crbug.com di bagian komponen Blink>Identity>FedCM.

Foto oleh Alex Perz nyala Buka Percikan