Federated Credential Management (FedCM) API

Identitätsföderation ist die Delegation der Benutzer-Authentifizierung von einer Website, die eine Benutzeranmeldung oder -registrierung erfordert, wie z.B. eine E-Commerce- oder Social-Networking-Site (auch als relying party oder RP bekannt), an einen vertrauenswürdigen Drittanbieter-Identitätsanbieter (IdP) wie Google, Facebook/Meta, GitHub usw.

Relying Parties (RPs) können sich mit IdPs integrieren, sodass Benutzer sich mit den Konten anmelden können, die sie beim IdP registriert haben. Die Identitätsföderation über eine kleine Gruppe spezialisierter IdPs hat die Web-Authentifizierung in Bezug auf Sicherheit, Verbrauchervertrauen und Benutzererfahrung verbessert, verglichen mit der Verwaltung der eigenen Anmeldedaten auf jeder Website mit separaten Benutzernamen und Passwörtern.

Das Problem ist, dass traditionelle Identitätsföderation auf <iframe>s, Weiterleitungen und Third-Party-Cookies basiert, die auch für Tracking durch Dritte verwendet werden. Browser schränken die Nutzung dieser Funktionen ein, um die Privatsphäre der Nutzer zu schützen, aber ein Nebeneffekt ist, dass dies die Implementierung gültiger, nicht verfolgungsbezogener Zwecke erschwert, wozu auch die Identitätsföderation gehört.

Dies betrifft die föderierte Anmeldung im Allgemeinen sowie spezifischere Anwendungsfälle der Identitätsföderation:

• OIDC Front-Channel-Logout: Dieser Ablauf erfordert, dass der IDP mehrere RP <iframe>s einbettet, die auf RP-Cookies angewiesen sind.
• Soziale Widgets: Um soziale Widgets bereitzustellen, muss das IdP-Third-Party-Cookie von der RP-Top-Level-Quelle zur Verfügung gestellt werden.
• Personalisierte Buttons: Die Anzeige personalisierter Anmeldeinformationen auf einem <button> in der RP-Herkunft wird als IdP-<iframe> implementiert, das Third-Party-Cookies benötigt.
• Sitzungsaktualisierung ohne Top-Level-Navigation oder Popups.

FedCM zielt darauf ab, dieses Problem zu umgehen, indem es einen speziellen Mechanismus für föderierte Identitätsabläufe im Web bereitstellt und unterstützenden Browsern ermöglicht, spezielle UI-Elemente auf RPs bereitzustellen, die es Benutzern erlauben, ein IdP-Konto zur Anmeldung auszuwählen.

Es gibt zwei Teile zur Nutzung der FedCM API, die in den unten verlinkten Leitfäden behandelt werden:

1. IdP-Integration mit FedCM — was ein Identitätsanbieter bereitstellen muss, damit ein RP sich mit ihm integrieren kann.
2. RP-Föderierte Anmeldung — die FedCM-Funktionalität, die ein RP nutzen muss, um einen Benutzer mit seinem IdP-Konto anzumelden. Eine FedCM-Anmeldeanforderung wird mit der Methode navigator.credentials.get() initiiert.

Die identity-credentials-get Permissions-Policy kann verwendet werden, um die Berechtigung zur Nutzung von FedCM zu steuern, insbesondere die Nutzung der get()-Methode.

Entwickler können einem <iframe> ausdrücklich die Berechtigung zur Nutzung von FedCM über das allow-Attribut erteilen:

<iframe src="3rd-party.example" allow="identity-credentials-get"></iframe>

Die Verfügbarkeit von FedCM innerhalb von <iframe>s ermöglicht einige Anwendungsfälle:

• Größere Websites möchten nicht, dass ein Drittanbieter-Anmeldeskript die Kontrolle über den obersten Rahmen übernimmt; stattdessen möchten sie dieses Skript hinzufügen und FedCM aus einem <iframe> heraus aufrufen.
• Einige <iframes> könnten selbst eine föderierte Authentifizierung erfordern.

IdentityCredential

Stellt ein Benutzeridentitätsnachweis dar, der aus einer erfolgreichen föderierten Authentifizierung hervorgeht. Ein erfolgreicher Aufruf von navigator.credentials.get(), der eine identity-Option enthält, wird mit einer IdentityCredential-Instanz erfüllt.

IdentityProvider

Stellt einen IdP dar und bietet Zugriff auf verwandte Informationen und Funktionen.

NavigatorLogin

Definiert Anmeldefunktionen für IdPs, einschließlich der Methode Navigator.login.setStatus() zur Aktualisierung des IdP-Anmeldestatus.

CredentialsContainer.get(), die identity-Option.

identity ist ein Objekt, das Details zu föderierten IdPs enthält, die eine Relying Party (RP) Website zur Anmeldung von Nutzern verwenden kann. Es verursacht, dass ein get()-Aufruf eine Anfrage zur Anmeldung eines Nutzers bei einem RP mit einem IdP initiiert.

Navigator.login

Bietet Zugang zum NavigatorLogin-Objekt des Browsers.

Set-Login

Bietet einen HTTP-Mechanismus zur Aktualisierung des Anmeldestatus über HTTP.

• FedCM-Anmeldebeispiel
  • RP-Quellcode
  • IdP-Quellcode
• FedCM <iframe>-Anmeldung
  • RP <iframe>-Seitenquellcode
  • IdP-Quellcode

• Federated Credential Management API