ניהול מפתחות גישה

כדי לספק חוויית שימוש חזקה במפתחות גישה, מומלץ להטמיע באפליקציה את הפעולות הבאות:

  • ניהול מפתחות גישה של משתמשים: כדאי לכלול בהגדרות של האפליקציה קטע ייעודי לניהול מפתחות גישה, כדי לאפשר למשתמשים לנהל את מפתחות הגישה שלהם.
  • שילוב של ספק פרטי כניסה: כדי לתקשר עם ספקי פרטי כניסה, שרת האפליקציה יכול להטמיע את נקודות הקצה של מפתחות הגישה לצורך רישום, אימות ומחיקה.

ניהול מפתחות גישה של משתמשים

כדי לאפשר למשתמשים לנהל את מפתחות הגישה שלהם, צריך לכלול באפליקציה קטע ייעודי לניהול מפתחות גישה, שבו המשתמשים יוכלו ליצור, להציג, לשנות את השם ולמחוק את מפתחות הגישה שלהם.

הצגת מפתחות גישה זמינים

בהגדרות של מפתחות הגישה באפליקציה, צריך לספק למשתמשים מידע, כולל ספק פרטי הכניסה ששימש ליצירת פרטי הכניסה, תאריך היצירה והתאריך האחרון שבו נעשה שימוש בפרטי הכניסה.

כדי לקבל את פרטי ספק האישורים, משתמשים במזהה הייחודי הגלובלי (AAGUID) של אימות המאמת שמשויך למפתח הגישה המתאים. מזהה AAGUID הוא חלק מ-PublicKeyCredential שמוחזר כשיוצרים את מפתח הגישה. מזהה ה-AAGUID מאפשר לכם לזהות את ספק פרטי הכניסה שיצר את מפתח הגישה. מידע נוסף זמין במאמר בנושא קביעת ספק מפתחות הגישה באמצעות AAGUID.

באפליקציה אפשר להציג את הפרטים הבאים לגבי מפתח הגישה:

  • שם מפתח הגישה: השם שניתן כשמפתח הגישה נרשם. השם האידיאלי מבוסס על ספק האישורים (באמצעות AAGUID). אם אי אפשר לזהות את הספק, צריך להשתמש בפרטי דגם המכשיר מתוך android.os.Build.
  • לוגו של ספק: הצגת הלוגו של ספק פרטי הכניסה. הסימן החזותי הזה עוזר למשתמשים לזהות במהירות את מפתח הגישה הנכון שהם רוצים לנהל.
  • חותמות זמן: צריך לציין את חותמת הזמן של היצירה ואת חותמת הזמן של השימוש האחרון. המידע הזה עוזר למשתמשים לנהל את פרטי הכניסה שלהם ולזהות מפתחות גישה ישנים או לא בשימוש.
  • אינדיקטור של סטטוס הסנכרון: כברירת מחדל, מפתחות הגישה מסונכרנים עם ספקי אישורים, אבל יכולות הסנכרון עשויות להשתנות. כדי למנוע בלבול בקרב המשתמשים, צריך לציין בבירור אם מפתח הגישה לא תומך בסנכרון.
  • פרטי הכניסה האחרונה (אופציונלי): אפשר לספק פרטים כמו הדפדפן, מערכת ההפעלה, כתובת ה-IP או המיקום של הכניסה האחרונה. זו תכונה אופציונלית שימושית שמאפשרת למשתמשים לזהות פעילות חשודה פוטנציאלית.

בנוסף לפרטים האלה, במסך צריכים להיות לחצנים שמאפשרים למשתמשים לנהל כל מפתח גישה – למחוק או לשנות את השם שלו.

בדף ההגדרות של האפליקציה מוצגים כל מפתחות הגישה השמורים של האפליקציה, עם ספק האישורים ותאריך היצירה.
איור 1. בדף ההגדרות של האפליקציה מוצגים כל מפתחות הגישה שנשמרו לאפליקציה, עם ספק האישורים ותאריך היצירה.

יצירת כמה מפתחות גישה

מומלץ להציע למשתמשים אפשרויות ליצור מפתחות גישה לאורך מסלול המשתמש, למשל מיד אחרי הכניסה לחשבון. עם זאת, בקטע ההגדרות של מפתחות הגישה באפליקציה צריכה להיות למשתמשים אפשרות ליצור מפתחות גישה, באמצעות ספק האישורים שהם בוחרים.

כדי להקטין את הסיכון לנעילת החשבון, כדאי לאפשר למשתמשים לרשום כמה מפתחות גישה אצל ספקי אישורים שונים. אם ספק פרטי כניסה אחד לא נגיש – למשל, אם הפלטפורמה מפסיקה את התמיכה או שהמשתמש מאבד את הגישה – הוא יכול להשתמש במפתח גישה אחר כדי להיכנס לחשבון. מוודאים שמסד הנתונים תומך באחסון של פרטי הכניסה האלה עבור כל משתמש. עם זאת, אתם יכולים למנוע ממשתמשים ליצור מפתח גישה לאותו חשבון עם אותו ספק אישורים.

מחיקת מפתחות גישה

בקטע ההגדרות של מפתחות הגישה באפליקציה, המשתמשים צריכים להיות מסוגלים למחוק מפתחות גישה.

שילוב של ספק פרטי כניסה

כדי שמפתחות הגישה יהיו עקביים בין שרת האפליקציה לבין ספק פרטי הכניסה, צריך להפעיל את ניהול מפתחות הגישה מהנתיב המוגדר מראש /.well-known/passkey-endpoints בשרת האפליקציה. כך ספקי אישורים יכולים להשתמש ישירות בנקודות הקצה האלה לניהול מפתחות גישה. מידע נוסף זמין במאמר הוספת נקודות קצה של מפתחות גישה.

מקורות מידע נוספים