השנה ב-Google I/O סיפרנו איך Chrome משנה את פני אימות המשתמשים ואימות הזהות באינטרנט בעזרת היכולות של ממשק ה-API של הדפדפן. בין שאתם משתמשים בסיסמאות, במפתחות גישה או באיחוד שירותי אימות, Chrome יציע לכם חוויית כניסה ורישום מאוחדת, פשוטה, בטוחה ונוחה יותר.
כאן תוכלו למצוא את הכלים והשיטות המומלצות העדכניים ביותר לשיפור תהליך ההרשמה והכניסה לאתר.
בדף של הסשן או בהמשך המאמר תוכלו לקרוא על הרגעים החשובים ביותר.
הדפדפן ככלי עזר לכניסה לחשבון
האימות באינטרנט מתפתח. ציפיות המשתמשים הולכות ועולות, התקנות החדשות מתרבות והסביבה העסקית של הכלים לזהות דיגיטלית הולכת וגדלה. לכן, מפתחים צריכים להציע תהליכי כניסה ורישום מאובטחים, חלקים ושומרים על הפרטיות. Chrome כאן כדי לעזור.
יש שלושה תחומי התמקדות עיקריים:
- אימות משתמשים: בעזרת FedCM תוכלו לתמוך בתהליכי כניסה חזקים יותר, עם ניהול סיסמאות משופר, הטמעה קלה יותר של מפתחות גישה ותמיכה מובנית באיחוד שירותי אימות הזהות (IdF) באמצעות ניהול מאוחד של פרטי כניסה (FedCM).
- אימות זהות: מאפשר לבקש פרטי משתמש מאומתים, כמו גיל או בעלות על תעודה מזהה, באמצעות פרטי כניסה דיגיטליים מארנקים ניידים.
- ניהול סשנים: הכלי הזה עוזר להגן על המשתמשים אחרי הכניסה לחשבון על ידי קישור הסשנים למכשיר שלהם באמצעות פרטי כניסה לסשן לפי מכשיר (DBSC).
כאן תוכלו למצוא מידע על הכלים וממשקי ה-API שמאפשרים את כל זה.
מנהל פרטי הכניסה לאינטרנט: ממשק משתמש אחד לכניסה לכל פרטי הכניסה
הכניסה לחשבון צריכה להיות נוחה. אבל כשיש סיסמאות, מפתחות גישה ואפשרויות מאוחדות, המשתמשים נתקלים לעתים קרובות בערבוב מבולבל של אפשרויות.
אנחנו מרחיבים את Credential Manager API ב-Chrome, כדי שתוכלו לבקש פרטי כניסה מהדפדפן, ללא קשר לסוג שלהם, באמצעות ממשק עקבי אחד. אם פרטי הכניסה זמינים במנהל הסיסמאות, Chrome יציג אותם למשתמש בתיבת דו-שיח אחת, כדי להפחית את המורכבות עבור המשתמש.
אם Chrome לא ימצא את פרטי הכניסה, נודיע לכם על כך ותוכלו לחזור לתהליך הכניסה שלכם.
חוויית המשתמש החדשה הזו מפחיתה את החיכוך ומאפשרת כניסה חלקה יותר.
התכונה הזו נמצאת בגרסת טרום-השקה למפתחים. כדי להתחיל להשתמש בו באופן מקומי, מפעילים את הדגל chrome://flags#enable-experimental-web-platform-features, כולל פרטי הכניסה של password ושל publicKey, ומשתמשים ב-mediation: "immediate" כדי להפעיל תהליך בחירת הרשת (Mediation) מיידי.
קטע הקוד הבא מראה איך זה אמור להיראות:
const cred = await navigator.credentials.get({
password: true,
publicKey: {
challenge,
rpId: 'example.com'
},
mediation: 'immediate',
});
מידע נוסף זמין במסמך שלנו בנושא בדיקת בחירת הרשת המיידית ב-Chrome.
סיסמאות: חכמות ובטוחות יותר
סיסמאות עדיין הן שיטת האימות הנפוצה ביותר בעולם. בדפדפנים ובמנהלי הסיסמאות יש כלים לשיפור חוויית הכניסה באמצעות סיסמאות, אבל לא תמיד האתרים משתמשים בהם.
Chrome תומך בשיטות בטוחות יותר באמצעות תכונות של מנהל הסיסמאות של Google, כמו יצירת סיסמה בטפסים להרשמה או בדיקות של פרצות באבטחת סיסמאות כדי להזהיר משתמשים על פרטי כניסה שנחשפו.
ריכזנו כאן כמה כלים שיעזרו לכם לשפר את חוויית השימוש בסיסמאות באתר.
שינוי סיסמה אוטומטי: תיקון סיסמאות שנחשפו בלחיצה אחת
בהמשך השנה נשיק את התכונה שינוי אוטומטי של סיסמה בחלק מהאתרים. התכונה הזו תאפשר למשתמשים להגיב בקלות רבה יותר כשפרטי הכניסה שלהם נמצאים בסיכון.
כש-Chrome מזהה סיסמה שנחשפה במהלך הכניסה לחשבון, מנהל הסיסמאות של Google מציג למשתמש אפשרות לתקן אותה באופן אוטומטי.
באתרים נתמכים, Chrome יכול ליצור סיסמה חזקה חלופית ולעדכן את הסיסמה של המשתמש באופן אוטומטי.
כך מצטמצמות נקודות החיכוך והמשתמשים יכולים לשמור על אבטחת החשבון בלי לחפש בהגדרות החשבון או לנטוש את התהליך באמצע.
יש כמה פעולות שאפשר לבצע כדי לבצע אופטימיזציה של האתר כך שיעבוד בצורה חלקה עם דפדפנים ומנהלי סיסמאות.
- אופטימיזציה של ההשלמה האוטומטית: משתמשים ב-
autocomplete="current-password"וב-autocomplete="new-password"כדי להפעיל את המילוי האוטומטי ואת האחסון. מומלץ לעיין במדריכים שלנו בנושא כניסה והרשמה. - כתובות URL לשינוי סיסמה: צריך להגדיר הפניה אוטומטית מ-
<your-website-domain>/.well-known/change-passwordלטופס לשינוי הסיסמה באתר (כתובת URL ידועה לשינוי סיסמה). כשמתגלה סיסמה פגיעה, מנהלי הסיסמאות יכולים להפנות את המשתמש לדף לשינוי הסיסמה.
שיתוף חלק של פרטי כניסה: כניסה אחת לאפליקציה ולאתר
מנהלי הסיסמאות עושים יותר מאשר רק מאחסנים סיסמאות. הם עוזרים למנוע פישינג על ידי הצגת פרטי הכניסה רק כשהדומיין תואם. עם זאת, משתמשים עדיין עלולים להיתקל בבעיות כשהשירות שלכם מורכב מכמה דומיינים ופלטפורמות.
לדוגמה:
- משתמש נרשם לאפליקציה שלכם ל-Android ולאחר מכן מבקר באתר שלכם במחשב נייד
- או שאתם מציעים כמה דומיינים או אפליקציות שמקבלים את אותו שם משתמש
ללא פרטי כניסה משותפים, לא נציע סיסמה שמורה, ולכן יכול להיות שהמשתמשים יתקששו להיכנס לחשבון.
שיתוף מאובטח של פרטי כניסה עוזר לפתור את הבעיה הזו. כשמשייכים את האפליקציות והאתרים, מנהל הסיסמאות של Google יכול לשתף את הסיסמה בצורה חלקה בין הנכסים האלה, וכך ליהנות מחוויית כניסה חלקה ופשוטה יותר.
ב-eBay הגדילו את שיעור הכניסות המוצלחות ב-10%. מידע נוסף זמין בניתוח מקרה: איך eBay שיפרה את שיעורי ההצלחה בכניסה ב-10% באמצעות שיתוף חלקי של פרטי הכניסה.
מפתחות גישה: דרך פשוטה ובטוחה יותר להיכנס לחשבון
מפתחות גישה הם חלופה חזקה יותר לסיסמאות, שעוזרת למשתמשים להיכנס לאתרים ולאפליקציות בצורה בטוחה באמצעות מנגנון הנעילה של המכשיר, כמו מידע ביומטרי (למשל טביעות אצבע או זיהוי פנים), קוד אימות או קו ביטול נעילה. הם עמידים בפני פישינג, ידידותיים למשתמש וסטנדרטים נפוצים בדפדפנים ובמערכות הפעלה.
סנכרון מפתחות גישה בין פלטפורמות
המשתמשים שומרים את מפתחות הגישה במנהל הסיסמאות שלהם, אבל חלק מהמנהלים לא מסנכרנים אותם. המצב הזה עלול לגרום לבעיות אם משתמש מנסה להיכנס לחשבון ממכשיר שבו מפתח הגישה לא זמין. במקרה כזה, Chrome יציג קוד QR כדי שהמשתמש יוכל להשלים את הכניסה ממכשיר אחר שבו שמורים פרטי הכניסה.
כדי לצמצם את החיכוך הזה, הוספנו ל-Chrome תמיכה בסנכרון של מפתחות גישה במנהל הסיסמאות של Google.
עכשיו יש תמיכה גם ב-iOS, כך שמפתחות הגישה במנהל הסיסמאות של Google יכולים לסנכרן בין כל הפלטפורמות העיקריות, כולל Android, Windows, macOS, ChromeOS ו-Linux. מידע נוסף זמין במאמר סביבות נתמכות.
גישור מיידי: בקשה רק לפרטי כניסה שזמינים
חלק מהמשתמשים לא מסנכרנים מפתחות גישה בכל המכשירים. אם מפתח הגישה לא נמצא באופן מקומי, יכול להיות שמערכת Chrome תציג קוד QR כדי שהמשתמש יוכל להשתמש במכשיר אחר שבו שמורים פרטי הכניסה. אפשר לעשות זאת, אבל זה עלול להוסיף חיכוך.
כדי לצמצם את החיכוך הזה, Chrome תומך באפשרות חדשה: mediation: 'immediate'.
כך האתר יוכל לבקש רק פרטי כניסה שכבר זמינים במכשיר הנוכחי. אם לא נמצאו כתובות, המשתמש לא יראה כלום. ללא הנחיות, ללא קודי QR וללא הפרעות. Chrome מודיע לכם על כך, כדי שתוכלו להציג במקום זאת את ממשק המשתמש הרגיל לכניסה.
כך אפשר לשפר את חוויית המשתמש, מכיוון שאין צורך להשתמש בתהליכים של קוד QR למשתמשים ללא פרטי כניסה.
מומלץ להשתמש בגישה הזו כשמשתמש מבצע פעולה משמעותית, למשל לחיצה על לחצן 'כניסה' או 'תשלום'. כשמשתמשים ב-navigator.credentials.get() עם mediation: 'immediate', אם מפתח גישה זמין במכשיר הנוכחי, Chrome מופיע מיד. אם לא, המשתמש ממשיך ללא הפרעה, ואתם יכולים להציג שדה סיסמה, קוד חד-פעמי או שיטה אחרת.
כדי להגדיל את הסיכויים לעזור למשתמש להיכנס לחשבון, אפשר גם להגדיר את הערך password: true. כך Chrome יכול להציג סיסמאות שמורות לצד מפתחות גישה, אם הם זמינים.
בדוגמה הבאה מוסבר איך לבקש מפתח גישה עם תהליך בחירת שרת מיידי:
navigator.credentials.get({
publicKey: {
challenge: new Uint8Array([/* your challenge here */]),
rpId: 'example.com'
},
mediation: 'immediate',
//< password: true == enable this to request passwords alongside passkeys
}).t>hen(credential = {
// Use the credential for sign in
>}).catch(error = {
if (error.name === 'NotAllowedError') {
// No credential found on this device, fall back to another method
} else {
console.error('Error during sign-in', error);
}
});
התכונה הזו מופיעה במדריכים למפתחים, ומידע נוסף עליה זמין במאמר הסבר על גישור מיידי ב-WebAuthn.
יצירה אוטומטית של מפתחות גישה
הרבה משתמשים עדיין נכנסים לחשבון באמצעות סיסמאות. כדי לעזור להם להשתמש במפתחות גישה, אנחנו משיקים ב-Chrome ממשק API שיעזור לכם ליצור מפתח גישה למשתמשים באופן אוטומטי אחרי כניסה מוצלחת באמצעות סיסמה.
כל מה שצריך לעשות הוא לבקש ליצור מפתח גישה. אם למשתמש יש סיסמה שמורה שבה נעשה שימוש לאחרונה, מנהל הסיסמאות יוצר מפתח גישה ומעדכן אתכם אם הוא נוצר. יכול להיות שהמשתמש יקבל התראה ברגע שהמפתח יהיה זמין. הפעולה הזו לא מוחקת את הסיסמה של המשתמש.
אם מפתח הגישה לא נוצר, הדפדפן לא יפריע למשתמש ולא יציג ממשק משתמש.
כך המשתמשים יכולים להשתמש במפתחות גישה בהדרגה, בלי להפריע לתהליך הכניסה לחשבון.
התכונה הזו זמינה מ-Chrome 136. מידע נוסף זמין במאמר עזרה למשתמשים להשתמש במפתחות גישה בצורה חלקה יותר.
ניקוי מפתחות הגישה באמצעות Signal API
אם משתמש מחק מפתח גישה מהאתר או מהאפליקציה שלכם, יכול להיות שמנהל הסיסמאות שלו עדיין יציע אותו במהלך הכניסה, מה שעלול לגרום לכשלים ולבלבול. Signal API מאפשר לאפליקציה שלכם להודיע למנהל הסיסמאות כשמפתח גישה הוסר, וכך לשמור על רשימות פרטי הכניסה נקיות ומדויקות.
אתם יכולים גם לשלוח למנהל הסיסמאות רשימה של מפתחות גישה מוכרים כדי לעזור לו לשמור על עדכניותם. כך אפשר לנקות מפתחות גישה שלא בשימוש של המשתמש.
Signal API זמין החל מגרסה 132 של Chrome. מידע נוסף זמין במאמר שמירה על עקביות בין מפתחות הגישה לפרטי הכניסה בשרת באמצעות Signal API.
ייבוא וייצוא: פרטי הכניסה תמיד איתכם
משתמשים שעוברים בין מנהלי סיסמאות מתקשים לעיתים קרובות להעביר את פרטי הכניסה שלהם. אנחנו מוסיפים ל-Chrome תמיכה בייבוא ובייצוא של מפתחות גישה וסיסמאות, על סמך תקני FIDO. המשתמש לא צריך לטפל בקובץ.
שיפורים במילוי האוטומטי
כדי להציג את פרטי הכניסה השמורים בצורה ידידותית למשתמש, Chrome יכול להציג באופן אוטומטי את התפריט הנפתח של המילוי האוטומטי כשטופס הכניסה מוכן. פשוט תומכים בסיסמאות ובמפתחות גישה בטופס ומפעילים את התכונה 'מיקוד אוטומטי' בשדה הקלט.
האפשרות הזו שימושית כי פרטי הכניסה מוצגים בלי שהמשתמש יצטרך ללחוץ על שדה. במקום זאת, המשתמש יכול פשוט להקיש על פרטי הכניסה שבהם הוא רוצה להשתמש, וכך לצמצם את החיכוך.
מידע נוסף זמין במאמר כניסה לחשבון באמצעות מפתח גישה באמצעות מילוי אוטומטי של טפסים.
משאבי למידה מעודכנים
שיפרנו את משאבי הלמידה שלנו בנושא מפתחות גישה כדי לוודא שתוכלו לספק למשתמשים את חוויית השימוש הטובה ביותר במפתחות גישה.
- יצירת מפתח גישה לכניסות ללא סיסמה
- כניסה לחשבון באמצעות מפתח גישה דרך מילוי אוטומטי של טפסים
- עזרה למשתמשים לנהל מפתחות גישה ביעילות
FedCM: שיפור הזהות המאוחדת
באמצעות Federated Credential Management API (FedCM), המשתמשים יכולים להיכנס באמצעות ספקי זהויות מהימנים באמצעות תהליך שמתבצע דרך הדפדפן, שבו הפרטיות וחוויית המשתמש נמצאים בראש סדר העדיפויות. FedCM עוזר לפשט את תהליכי ההרשמה והכניסה לאינטרנט, כך שמפתחים יכולים לתמוך באימות חלק יותר עם פחות מאמץ.
ממשק משתמש חכם יותר
עכשיו יש לכם יותר שליטה על האופן שבו ההודעה על כניסה מופיעה ועל המועד שבו היא מופיעה ב-FedCM. יש בו תמיכה בשני מצבים:
- מצב פסיבי: הדפדפן מציג באופן אוטומטי את ההנחיה לכניסה לחשבון של ספקי זהויות מוכרים כשהמשתמשים חוזרים לאתר. האפשרות הזו מתאימה למשתמשים מוכרים, אבל היא עלולה להיראות פולשנית אם היא תוצג מוקדם מדי.
- מצב פעיל: ההנחיה מופיעה רק אחרי שהמשתמש לוחץ על לחצן כניסה, וכך נוצרת חוויה מכוונת יותר.
זה חשוב כי כך אפשר להפחית את הבלבול ולמנוע הפתעות בקרב המשתמשים. במצב פעיל, המשתמשים יכולים להישאר באתר שלכם ולא לראות הפניה אוטומטית או תיבת דו-שיח אחרת.
אבל אנחנו גם עובדים על שיפור המצב הפסיבי ב-Chrome. בעדכונים עתידיים ננסה שיטות של למידת מכונה שמשלבות אותות מהאתר ומהמשתמש כדי לקבוע מתי ואיך להציג את ממשק המשתמש, וכך לספק חוויית משתמש אופטימלית.
ממשקי API גמישים יותר
FedCM מאפשר לכם יותר גמישות ושליטה על האופן שבו המשתמשים נכנסים באמצעות זהות מאוחדת.
לדוגמה, תמיכה במספר ספקי זהויות מאפשרת לכם להציג למשתמשים רשימה של ספקים במקום רק אחד. כך המשתמשים יכולים לבחור את החשבון שמתאים להם, לשפר את שיעורי הכניסה תוך שמירה על פרטיות המשתמשים.
הדפדפן עדיין מתווך בכל שלב. ספקי הזהויות רואים רק את מה שהמשתמשים מאפשרים במפורש, והפרטיות נשמרת לאורך כל התהליך.
פרטי כניסה דיגיטליים: אימות זהות מהיר ופרטי אונליין
פרטי כניסה דיגיטליים הופכים לנפוצים יותר ברחבי העולם. הם מאפשרים למשתמשים לאמת מאפיינים כמו גיל, סטטוס סטודנט או זהות באמצעות ארנק דיגיטלי. Digital Credentials API מאפשר למשתמשים לשתף טענות מאומתות, כמו גיל או סטטוס רישיון, מהארנק הנייד שלהם ישירות עם אתרים.
אנחנו עובדים עם W3C ועם גורמים מובילים בתחום כדי להפוך את האפשרות הזו לסטנדרט. המטרה שלנו היא לספק חוויה ידידותית, מאובטחת, פרטית ועקבית בכל הפלטפורמות.
כמה תכונות מעניינות:
- תמיכה במכשירים שונים. המשתמשים יכולים להציג את פרטי הכניסה בצורה מאובטחת מכל מכשיר.
- גילוי נאות סלקטיבי. המשתמשים יכולים לאשר פרטים כמו 'מעל גיל 18' בלי לחשוף מידע מיותר.
- מידע שניתן לאמת. המנפיק חותם על הנתונים באופן דיגיטלי, ומאפשר אימות פשוט.
- הנפקה. אנחנו פועלים להרחבת Digital Credentials API כדי לאפשר למשתמשים להקצות את פרטי הכניסה האלה לאפליקציית הארנק שלהם.
פרטי כניסה לסשן לפי מכשיר: נשארים מחוברים ומוגנים
סשנים של משתמשים מזוהים לעיתים קרובות לפי קובצי ה-cookie שלהם, שתוכנה זדונית עלולה לגנוב מהמכשיר של המשתמש.
פרטי כניסה לסשן לפי מכשיר מקשרים סשן למכשיר ספציפי. כך אפשר לצמצם את הסיכון לפריצה לסשן ולשפר את ההגנה כשאתם מחוברים לחשבונות האימייל או לרשתות החברתיות, או כשאתם ניגשים לשירותים ממשלתיים.
תכונת DBSC עוזרת למפתחים ליצור סשנים מאובטחים ויציבים יותר על ידי קישור האימות למכשיר שבו נעשה שימוש במהלך הכניסה.
משוב
נשמח לקבל ממך משוב על כל מה ששיתפנו. אנחנו מזמינים אתכם לנסות את התכונות, לעיין בקישורים במסמך הזה ולספר לנו מה דעתכם.