W tym dokumencie opisujemy, jak za pomocą Menedżera danych logowania uzyskać z urządzenia użytkownika adres e-mail zweryfikowany kryptograficznie. Ten proces eliminuje konieczność weryfikowania adresu e-mail przez użytkowników aplikacji za pomocą haseł jednorazowych lub magicznych linków.
W tym dokumencie znajdziesz informacje na te tematy:
- Zgodność z Androidem
- Wrażenia użytkownika
- Obsługiwane konta
- Wpływ dostarczalności e-maili
- Porównanie z funkcją Zaloguj się przez Google
W tym przewodniku przyjęto założenie, że znasz te pojęcia:
Zgodność z Androidem
Ta funkcja jest obsługiwana na telefonach, tabletach i urządzeniach składanych z Androidem 9 (interfejs API na poziomie 28) lub nowszym. Minimalna wymagana wersja Usług Google Play (GMS) to 25.49.x.
Wrażenia użytkownika
W sekcjach poniżej opisujemy wygodę użytkownika podczas procesu weryfikacji, konieczność uwzględnienia alternatywnych metod weryfikacji oraz zalecane rozwiązania w różnych przypadkach użycia.
Proces weryfikacji
Udostępnianie zweryfikowanego adresu e-mail wygląda tak:
Użytkownik skupia się na polu wprowadzania lub klika przycisk, który wywołuje interfejs Credential Manager API. W zależności od projektu ekranu możesz też wywołać interfejs API podczas wczytywania ekranu aplikacji.
Pojawi się plansza dolna z informacjami, które zostaną udostępnione aplikacji. Jeśli na urządzeniu nie ma żadnych informacji, użytkownik zobaczy ogólny komunikat o błędzie.
Gdy użytkownik kliknie Zgadzam się i kontynuuję, wyświetl komunikat o sukcesie lub niepowodzeniu.
(Opcjonalnie, zalecane) Jeśli użytkownik rejestruje się w Twojej usłudze, poproś go o utworzenie klucza dostępu, aby ułatwić mu późniejsze logowanie.
Uwzględnij podstawowe i zapasowe ścieżki
Aby zapewnić użytkownikom wygodę, na ekranach, które wymagają weryfikacji adresu e-mail, umieść te opcje:
- Główna opcja weryfikacji: pole adresu e-mail lub przycisk, który uruchamia proces interfejsu Credential Manager API w celu szybkiej weryfikacji.
- Alternatywne opcje weryfikacji: link lub przycisk „Zweryfikuj w inny sposób” lub „Inne opcje” umożliwiające ręczne wpisanie adresu e-mail w przypadku niepowodzenia, np. gdy na urządzeniu nie ma dostępnych informacji lub gdy pobrany adres e-mail nie pasuje do oczekiwanego. Powinno to umożliwić użytkownikom przeprowadzenie weryfikacji za pomocą innych danych logowania lub przez ręczne podanie kodu OTP.
Przypadki użycia
W sekcjach poniżej opisujemy zalecane przypadki użycia oraz sugerowane wrażenia użytkownika związane z weryfikacją adresu e-mail.
Zarejestruj się
Użytkownicy mogą od razu utworzyć konto za pomocą zweryfikowanego adresu e-mail bez osobnego etapu weryfikacji. Opcjonalnie możesz poprosić użytkownika o dodanie klucza dostępu. Jeśli zdecyduje się go dodać, uruchom proces tworzenia klucza dostępu.
Odzyskiwanie konta
Aby uniknąć frustracji użytkowników, którzy szukają kodów odzyskiwania w folderach ze spamem, zezwól im na odzyskiwanie konta za pomocą zweryfikowanego adresu e-mail bezpiecznie przechowywanego na urządzeniu. Dodatkowo zaproponuj im utworzenie klucza dostępu do wykorzystania w przyszłości.
Ponowne uwierzytelnianie w przypadku działań związanych z danymi poufnymi
Chroń działania użytkowników związane z poufnymi danymi, takie jak zmiana ustawień lub aktualizowanie szczegółów profilu, wymagając szybkiego ponownego uwierzytelnienia.
Obsługiwane konta
Weryfikacja adresu e-mail za pomocą Menedżera danych logowania obsługuje tylko weryfikację konsumenckich kont Google. Konta Workspace i konta nadzorowane nie są obsługiwane.
Konto Google dla użytkowników indywidualnych można utworzyć za pomocą adresu e-mail dowolnego dostawcy, niekoniecznie @gmail.com. Google weryfikuje jednak te konta w inny sposób:
- W przypadku kont @gmail.com: Google jest wiarygodnym źródłem, a e-mail jest zweryfikowany.
- W przypadku kont innych niż @gmail.com: Google nie jest długoterminowym źródłem informacji o tych adresach e-mail. Google weryfikuje adres e-mail podczas tworzenia konta, ale z czasem może się zmienić właściciel tego adresu. Dlatego w przypadku adresów innych niż @gmail.com warto rozważyć dodatkowy krok weryfikacji, np. wysłanie kodu OTP, aby mieć pewność, że użytkownik nadal ma dostęp do konta e-mail.
Więcej informacji o tym, co oznacza weryfikacja, znajdziesz w sekcji Cyfrowe dokumenty tożsamości.
Poprawność i aktualność
System wydaje weryfikowalne dane logowania (VC) na podstawie bieżącego adresu e-mail użytkownika z aktywnych kont Google na urządzeniu. Te dane logowania są wydawane urządzeniu z wyprzedzeniem, zwykle gdy jest ono nieaktywne. Chociaż te dane logowania mogą być ważne przez kilka dni, system sprawdza je w momencie udostępniania, aby upewnić się, że konto nadal istnieje, jest na urządzeniu i że adres e-mail jest prawidłowy. W ten sposób priorytetem jest bieżący stan konta, a nie okres ważności danych logowania.
Aby zapewnić autentyczność, w momencie udostępniania generowany jest podpis powiązania klucza (kb), który zawiera wartość nonce.
Jeśli urządzenie jest offline lub konto zostało usunięte, proces się nie powiedzie, zamiast dostarczyć wygasłą kartę weryfikacyjną lub kartę weryfikacyjną dla nieaktywnego konta Google.
Dostarczalność poczty e-mail
Chociaż ten proces potwierdza legalność konta, nie gwarantuje dostarczenia wiadomości do skrzynki odbiorczej (np. e-mail może zostać przekierowany do spamu). Ostateczną metodą potwierdzania dostarczalności e-maili jest kod OTP.
Porównanie z funkcją Zaloguj się przez Google
Zarówno cyfrowe poświadczenia, jak i Zaloguj się przez Google zapewniają zweryfikowany adres e-mail, ale wzorce przeglądania i przypadki użycia są różne:
- Przypadki użycia: proces weryfikacji adresu e-mail w Menedżerze danych logowania nie jest używany wyłącznie w przypadku rejestracji lub logowania, ale może być stosowany w każdym przypadku, w którym wymagane jest pobranie zweryfikowanego adresu e-mail. Może to obejmować również odzyskiwanie konta.
- Rejestracja: w przeciwieństwie do funkcji „Zaloguj się przez Google” proces Credential Manager nie wymaga rejestracji w Google.
- Obsługa platformy: proces Menedżera danych logowania jest rozwiązaniem przeznaczonym tylko na Androida.
- Zakresy: w przeciwieństwie do funkcji Zaloguj się przez Google, która może używać OAuth 2.0 do żądania dostępu do danych użytkownika (np. Kalendarza lub Dysku za pomocą zakresów), interfejs Digital Credentials API służy wyłącznie do pobierania zweryfikowanych atrybutów tożsamości. Nie można go używać do żądania dodatkowych zakresów autoryzacji.
Dalsze kroki
Aby wdrożyć tę funkcję w aplikacji, zapoznaj się z przewodnikiem po implementacji.