निजता बनाए रखने वाले आइडेंटिटी फ़ेडरेशन के लिए वेब एपीआई.
FedCM क्या है?
FedCM (फ़ेडरेटेड क्रेडेंशियल मैनेजमेंट), फ़ेडरेटेड आइडेंटिटी सर्विस (जैसे कि "इससे साइन इन करें...") के लिए निजता बनाए रखने वाला एक तरीका है. इसकी मदद से, उपयोगकर्ता पहचान सेवा या साइट के साथ अपनी निजी जानकारी शेयर किए बिना, साइटों में लॉग इन कर सकते हैं.
लागू किए जाने की स्थिति
- Chrome प्लैटफ़ॉर्म का स्टेटस
- FedCM को Chrome 108 में शिप किया गया.
- FedCM प्रस्ताव पर सार्वजनिक बातचीत की जा सकती है.
- FedCM अभी दूसरे ब्राउज़र पर काम नहीं करता.
- Mozilla, Firefox के लिए प्रोटोटाइप लागू कर रहा है और Apple ने FedCM प्रस्ताव पर सामान्य सहायता दी है और साथ मिलकर काम करने में दिलचस्पी दिखाई है.
आने वाले समय में, हम कई नई सुविधाएं लॉन्च करने की योजना बना रहे हैं. ये सुविधाएं, आइडेंटिटी प्रोवाइडर (आईडीपी), भरोसेमंद पार्टी (आरपी), और ब्राउज़र वेंडर से मिले सुझावों के आधार पर दी गई हैं. हमें उम्मीद है कि आइडेंटिटी प्रोवाइडर FedCM का इस्तेमाल करेंगे. कृपया ध्यान रखें कि FedCM को अब भी एपीआई के तौर पर डेवलप किया जा रहा है. हालांकि, 2023 की चौथी तिमाही तक, पुराने सिस्टम में ऐसे बदलाव हो सकते हैं जो सिस्टम में काम नहीं करते.
पुराने सिस्टम के साथ काम न करने वाले बदलावों को डिप्लॉय करने में आने वाली चुनौतियों को कम करने के लिए, फ़िलहाल हमारे पास आइडेंटिटी प्रोवाइडर के लिए दो सुझाव हैं:
- हमारे न्यूज़लेटर की सदस्यता लें, जहां एपीआई के बेहतर होने पर हम आपको अपडेट भेजेंगे.
- हमारी सलाह है कि आईडीपी (IdP) को JavaScript SDK टूल की मदद से FedCM API को डिस्ट्रिब्यूट करना चाहिए, ताकि एपीआई के सही होने के समय पर उसका इस्तेमाल किया जा सके. साथ ही, आरपी को सेल्फ़-होस्टिंग SDK टूल इस्तेमाल करने से रोकने में भी मदद मिलती है. इससे यह पक्का हो जाएगा कि एपीआई के बेहतर होने के साथ ही, आईडीपी (IdP) बदलाव कर सकें. इसके लिए, उन्हें फिर से डिप्लॉय करने के लिए नहीं कहा जाएगा.
हमें FedCM की ज़रूरत क्यों है?
पिछले दशक में, आइडेंटिटी फ़ेडरेशन ने वेब पर पुष्टि करने की प्रोसेस को बेहतर बनाने में अहम भूमिका निभाई है. इससे साइट के हर उपयोगकर्ता नाम और पासवर्ड की तुलना में, भरोसेमंद होना, इस्तेमाल में आसानी (उदाहरण के लिए, पासवर्ड के बिना सिंगल साइन-इन) करना, और सुरक्षा (उदाहरण के लिए, फ़िशिंग और क्रेडेंशियल स्टफ़िंग अटैक के लिए बेहतर सुरक्षा) को वेब पर पुष्टि करना आसान हो गया है.
आइडेंटिटी फ़ेडरेशन की मदद से, आरपी (भरोसेमंद पक्ष) की मदद से आईडीपी (पहचान देने वाली कंपनी) का इस्तेमाल किया जाता है, ताकि उपयोगकर्ता को नया खाता उपलब्ध कराया जा सके. इसके लिए, नए उपयोगकर्ता नाम और पासवर्ड की ज़रूरत नहीं होती.
माफ़ करें, वेब पर उपयोगकर्ताओं को ट्रैक करने के लिए, आइडेंटिटी फ़ेडरेशन के जिन तरीकों (iframe, रीडायरेक्ट, और कुकी) का इस्तेमाल किया जा रहा है उनका गलत इस्तेमाल किया जा रहा है. उपयोगकर्ता एजेंट, आइडेंटिटी फ़ेडरेशन और ट्रैकिंग के बीच अंतर नहीं कर पाते. इसलिए, अलग-अलग तरह के गलत इस्तेमाल को कम करने की वजह से, आइडेंटिटी फ़ेडरेशन को लागू करना और भी मुश्किल हो जाता है.
FedCM मैनेजमेंट एपीआई (FedCM), वेब पर फ़ेडरेटेड आइडेंटिटी फ़्लो के लिए, इस्तेमाल के हिसाब से ऐब्स्ट्रैक्शन उपलब्ध कराता है. इसमें, ब्राउज़र मीडिएशन डायलॉग दिखता है, जिससे उपयोगकर्ता आईडीपी से खातों को चुनकर, वेबसाइटों पर लॉगिन कर सकते हैं.
FedCM, वेब पर पहचान को बेहतर बनाने के लिए कई चरणों वाली सुविधा है. इसके पहले चरण में, हमने फ़ेडरेटेड आइडेंटिटी पर तीसरे पक्ष की कुकी के असर को कम करने की कोशिश की है. इसके बारे में और जानने के लिए, रोडमैप सेक्शन देखें.
हमें क्या लगता है कि इससे क्या असर पड़ेगा?
समुदाय की कोशिश और अपनी रिसर्च से हमें पता चला है कि तीसरे पक्ष की कुकी के बंद होने का असर, आइडेंटिटी फ़ेडरेशन से जुड़े कुछ इंटिग्रेशन पर पड़ा है.
- OpenID Connect फ़्रंट-चैनल लॉगआउट करें
- OpenID Connect सेशन मैनेजमेंट
- Iframe-आधारित बैकग्राउंड टोकन रिन्यूअल
- Iframe-आधारित लॉगिन विजेट
FedCM का पहला लक्ष्य है, पहचान फ़ेडरेशन पर तीसरे पक्ष की कुकी के इस्तेमाल को खत्म करने के असर को कम करना. साथ ही, ऊपर उन क्षेत्रों की सूची दी गई है जिन पर हमें असर होने की उम्मीद है. अगर इस्तेमाल के ऐसे दूसरे उदाहरण हैं जिनके बारे में हमने नहीं बताया है, तो हमारा सुझाव है कि आप दिलचस्पी शेयर करें और सुझाव, शिकायत या राय दें.
FedCM का इस्तेमाल किसे करना चाहिए?
हमें उम्मीद है कि FedCM आपके लिए सिर्फ़ तब काम करेगा, जब ये सभी शर्तें लागू होंगी:
- आप एक आइडेंटिटी प्रोवाइडर (आईडीपी) हों.
- आप पर तीसरे पक्ष की कुकी के फ़ेज़ आउट का असर पड़ा है.
- आपकी प्रतिबंधित पार्टी, तीसरे पक्ष की साइटें हैं. अगर आपकी प्रतिबंधित पार्टी एक-दूसरे से जुड़ी हुई हैं, तो आपको मिलती-जुलती वेबसाइट के सेट से बेहतर सेवाएं मिल सकती हैं.
आप आईडीपी (IdP) हैं
FedCM को किसी आइडेंटिटी प्रोवाइडर की मदद चाहिए. कोई भरोसेमंद पक्ष, FedCM का इस्तेमाल अलग से नहीं कर सकता. अगर आप आरपी हैं, तो अपने आईडीपी (IdP) से निर्देश देने के लिए कहें.
आप पर तीसरे पक्ष की कुकी के फ़ेज़ आउट का असर पड़ा है
आपको FedCM का इस्तेमाल सिर्फ़ तब करना चाहिए, जब आपके मौजूदा इंटिग्रेशन पर तीसरे पक्ष की कुकी के फ़ेज़ आउट की वजह से असर पड़ता हो.
अगर आपको पक्के तौर पर यह नहीं पता है कि Chrome के तीसरे पक्ष की कुकी के बंद होने के बाद भी आपका आइडेंटिटी फ़ेडरेशन काम करता रहेगा या नहीं, तो Chrome पर तीसरे पक्ष की कुकी को ब्लॉक करके वेबसाइट पर पड़ने वाले असर की जांच की जा सकती है.
अगर तीसरे पक्ष की कुकी के बिना, आपके आइडेंटिटी फ़ेडरेशन पर कोई असर नहीं पड़ता, तो FedCM के बिना भी मौजूदा इंटिग्रेशन का इस्तेमाल किया जा सकता है.
अगर आपको नहीं पता कि क्या देखना है, तो उन ऐसी सुविधाओं के बारे में ज़्यादा पढ़ें जिन पर इस चरण को पूरा करने के बाद असर पड़ सकता है.
आपकी प्रतिबंधित पार्टी तीसरे पक्ष की हैं
अगर आप आइडेंटिटी प्रोवाइडर हैं, जिसकी आरपी का आईडीपी (IdP) से कोई पहला संबंध है, तो हमें उम्मीद है कि मिलती-जुलती वेबसाइट के सेट बेहतर विकल्प हो सकते हैं. 'मिलती-जुलती वेबसाइट के सेट' (आरडब्ल्यूएस), किसी संगठन के लिए साइटों के बीच संबंधों की जानकारी देने का एक तरीका है. इससे ब्राउज़र खास मकसद के लिए, तीसरे पक्ष की कुकी का सीमित ऐक्सेस देते हैं. इससे तीसरे पक्ष की कुकी, तीसरे पक्ष की कुकी के बंद होने के बाद भी, काम की साइटों के सेट के बीच काम करती हैं.
उपयोगकर्ता, FedCM के साथ कैसे इंटरैक्ट करेंगे?
फ़िलहाल, FedCM का मुख्य मकसद तीसरे पक्ष की कुकी के अलग-अलग चरणों के असर को कम करना है. उपयोगकर्ता, Chrome की उपयोगकर्ता सेटिंग में जाकर, FedCM को चालू या बंद कर सकते हैं.
FedCM को प्रोटोकॉल-एग्नोस्टिक के हिसाब से डिज़ाइन किया गया है. इसमें, पुष्टि करने से जुड़ी ये सुविधाएं मिलती हैं.
हमारा डेमो देखें और जानें कि यह सुविधा कैसे काम करती है.
किसी भरोसेमंद पक्ष के खाते में साइन इन करें
जब उपयोगकर्ता, भरोसेमंद पक्ष (आरपी) की वेबसाइट पर जाता है, तब उसे FedCM साइन-इन डायलॉग दिखेगा. अगर उपयोगकर्ता ने आईडीपी में साइन इन किया है, तो उसे FedCM साइन इन डायलॉग दिखेगा.
अगर उपयोगकर्ता के पास आईडीपी (आरपी) वाला खाता नहीं है, तो ज़्यादा जानकारी के साथ साइन अप डायलॉग दिखेगा. जैसे, आरपी की सेवा की शर्तें और निजता नीति की जानकारी.
उपयोगकर्ता इस रूप में जारी रखें... पर टैप करके, साइन इन कर सकता है. अनुरोध स्वीकार होने पर, ब्राउज़र यह जानकारी सेव करता है कि उपयोगकर्ता ने आईडीपी की मदद से, आरपी पर फ़ेडरेटेड खाता बनाया है.
आरपी की वैल्यू उन ब्राउज़र पर काम करती है जो FedCM के साथ काम नहीं करते. उपयोगकर्ताओं के लिए ज़रूरी है कि वे FedCM के अलावा साइन-इन करने की मौजूदा प्रोसेस का इस्तेमाल कर सकें. FedCM में साइन इन कैसे काम करता है, इस बारे में ज़्यादा जानें.
FedCM को चालू या बंद करने की सेटिंग
उपयोगकर्ता, Android पर Chrome की सेटिंग में जाकर, FedCM को चालू या बंद कर सकते हैं. सेटिंग > साइट की सेटिंग > तीसरे पक्ष से साइन-इन पर जाएं. इसके बाद, टॉगल को बदलें.
वे
chrome://settings/content/federatedIdentityApi पर जाकर डेस्कटॉप पर Chrome के लिए भी ऐसा कर सकते हैं.
रोडमैप
हम FedCM में कई बदलाव करने पर काम कर रहे हैं.
सुझावों के आधार पर कई अपडेट पहले ही लागू किए जा चुके हैं. साथ ही, साल 2023 की चौथी तिमाही तक, इस कारोबार में लगातार सुधार होने की उम्मीद है. ज़्यादा जानकारी के लिए, कृपया अपडेट देखें.
- बदलाव लॉग: फ़ेडरेटेड क्रेडेंशियल मैनेजमेंट एपीआई के अपडेट.
हम जानते हैं कि कुछ ऐसी समस्याएं हैं जिन पर अभी काम करना बाकी है. इनमें आईडीपी, आरपी, और ब्राउज़र वेंडर से जुड़ी समस्याएं शामिल हैं. हमें लगता है कि हम जानते हैं कि इन समस्याओं को कैसे हल किया जाए:
- क्रॉस-ऑरिजिन iframe की सुविधा: आईडीपी (IdP) किसी क्रॉस-ऑरिजिन iframe (अपडेट) से FedCM को कॉल कर सकते हैं.
- पसंद के मुताबिक बटन: आईडीपी (IdP) के पास, 'साइन-इन' बटन पर लौटने वाले उपयोगकर्ता की पहचान का ऐक्सेस होता है. यह बटन, आईडीपी के मालिकाना हक वाले क्रॉस-ऑरिजिन iframe (अपडेट) में मौजूद होता है.
- मेट्रिक एंडपॉइंट: आईडीपी (IdP) को परफ़ॉर्मेंस मेट्रिक की जानकारी देता है.
इसके अलावा, हम कुछ ऐसी समस्याओं पर भी काम कर रहे हैं जिन्हें हल नहीं किया गया है. इनमें कुछ ऐसे प्रस्ताव भी शामिल हैं जिनका हम आकलन या प्रोटोटाइप कर रहे हैं:
- सीओआरएस: हम Apple और Mozilla के साथ चर्चा कर रहे हैं, ताकि FedCM के फ़ेच होने की जानकारी को बेहतर बनाया जा सके.
- मल्टिपल-IdP एपीआई: हम FedCM खाता चुनने वाले टूल में, कई आईडीपी को एक साथ इस्तेमाल करने के लिए काम कर रहे हैं. इसके लिए, हम नए तरीके खोज रहे हैं.
- IdP की साइन-इन स्थिति एपीआई: Mozilla को समय के अटैक की समस्या का पता चला है. हम ऐसे तरीके खोज रहे हैं जिनसे आईडीपी को इस समस्या को कम करने के लिए, उपयोगकर्ता की साइन इन स्थिति के बारे में ब्राउज़र को सूचना दी जा सके. (अपडेट करें)
- IdP API में साइन इन करें: जब उपयोगकर्ता ने आईडीपी पर साइन इन नहीं किया होता, तब अलग-अलग स्थितियों के लिए, ब्राउज़र एक यूज़र इंटरफ़ेस (यूआई) देता है, ताकि उपयोगकर्ता आरपी को छोड़े बिना साइन इन कर सके.
आखिर में, Mozilla, Apple, और TAG समीक्षकों से मिले सुझावों के आधार पर हमें लगता है कि और भी काम करना होगा. हम इन खुले सवालों के सबसे अच्छे समाधानों का आकलन करने के लिए काम कर रहे हैं:
- लोगों को समझने और मैच करने का मकसद बेहतर बनाना: जैसा कि Mozilla ध्यान देने वाली बात है, हम चाहते हैं कि UX के अलग-अलग फ़ॉर्मूले और सरफ़ेस एरिया एक्सप्लोर करते रहें. साथ ही, हम ट्रिगर करने की शर्तों को भी पूरा करना चाहते हैं.
- पहचान विशेषताएं और चुनिंदा जानकारी: जैसा कि हमारे TAG समीक्षकों ने बताया, हम एक ऐसा तरीका उपलब्ध कराना चाहते हैं जिसकी मदद से, पहचान बताने वाले एट्रिब्यूट (जैसे कि ईमेल, उम्र की सीमा, फ़ोन नंबर वगैरह) को चुनिंदा तौर पर शेयर किया जा सके.
- निजता की प्रॉपर्टी बढ़ाना: जैसा कि Mozilla ने यहां बताया है, हम ऐसे तरीके एक्सप्लोर करना चाहते हैं जिनसे निजता की बेहतर गारंटी दी जा सकें. जैसे, आईडीपी (IdP) दृष्टिहीनता और डायरेक्ट आइडेंटिफ़ायर.
- WebAuthn के साथ संबंध: Apple के सुझाव के मुताबिक, हम पासकी को लेकर हुई प्रोग्रेस को देखकर बहुत खुश हैं. साथ ही, हम FedCM, पासवर्ड, WebAuthn, और WebOTP के बीच बेहतर और एक जैसा अनुभव देने की दिशा में काम कर रहे हैं.
- लॉगिन की स्थिति: जैसा कि Apple ने प्राइवसी सीजी के लॉगिन स्टेटस एपीआई में बताया था, हम समझते हैं कि उपयोगकर्ता के लॉगिन स्टेटस से जुड़ी जानकारी काम की है, जिससे ब्राउज़र को सही फ़ैसला लेने में मदद मिलती है. हमें यह देखने में खुशी होती है कि इस तरह के अवसर कैसे पैदा होते हैं. (अपडेट करें)
- एंटरप्राइज़ और शिक्षा: FedID CG में साफ़ तौर पर बताया गया है कि FedCM के इस्तेमाल के ऐसे कई मामले अब भी हैं जिन पर हम काम नहीं करना चाहते. जैसे, फ़्रंट चैनल से लॉग आउट (आरपी को लॉग आउट करने के लिए आईडीपी को सिग्नल भेजने की सुविधा) और एसएएमएल के लिए सहायता.
- एमडीएल/वीसी/वगैरह के साथ संबंध: यह समझने के लिए काम जारी रखें कि ये FedCM में कैसे फ़िट होते हैं. उदाहरण के लिए, मोबाइल दस्तावेज़ के अनुरोध वाले एपीआई के साथ.
FedCM API का इस्तेमाल करना
FedCM का इस्तेमाल करने के लिए, आपको Chrome में आईडीपी (IdP) और आरपी, दोनों पर सुरक्षित कॉन्टेक्स्ट (एचटीटीपीएस या localhost) होना चाहिए.
FedCM के साथ इंटिग्रेट करने के लिए, आपको एक मशहूर फ़ाइल बनानी होगी. साथ ही, खातों की सूची के लिए, कॉन्फ़िगरेशन फ़ाइल और एंडपॉइंट बनाने होंगे. साथ ही, दावे को जारी करने की प्रोसेस, और वैकल्पिक तौर पर क्लाइंट मेटाडेटा की भी ज़रूरत होगी. इसके बाद, FedCM ऐसे JavaScript एपीआई दिखाता है जिनका इस्तेमाल आरपी, आईडीपी (IdP) से साइन इन करने के लिए कर सकते हैं.
FedCM API को इस्तेमाल करने का तरीका जानने के लिए, FedCM की डेवलपर गाइड देखें.
दिलचस्पी दिखाएं और सुझाव/राय दें या शिकायत करें
- GitHub: जानकारी पढ़ें, समस्याएं बढ़ाएं, और चर्चा का पालन करें.
- डेवलपर सहायता: प्राइवसी सैंडबॉक्स डेवलपर सहायता रेपो पर सवाल पूछें और चर्चा में शामिल हों.