معرفی ویژگی
کاربری که مرتب به حسابش برمی‌گردد، ممکن است هر بار برای دریافت کد منتظر شبکه موبایل بماند. دستگاه او شاید از قبل روشی مانند اثر انگشت، تشخیص چهره یا PIN برای تأیید هویت داشته باشد که بتوان از آن در ورود سایت هم استفاده کرد.
ورود WebAuthn در جم پک به فرم ورود یک‌بارمصرف متصل می‌شود. کاربر پس از احراز هویت اولیه، روش ورود دستگاه یا کلید امنیتی سازگار خود را ثبت می‌کند و در دفعات بعد، سایت پاسخ رمزنگاری‌شده آن را بررسی می‌کند.
هر حساب می‌تواند چند روش ثبت‌شده داشته باشد و موارد قدیمی یا گم‌شده حذف شوند. وجود روش جایگزین ورود نیز مهم است تا گم‌شدن دستگاه یا ناسازگاری مرورگر به ازدست‌رفتن دسترسی منجر نشود.
امکانات اصلی
- ثبت روش ورود دستگاه: پس از احراز هویت اولیه، دستگاه یا کلید امنیتی به همان حساب کاربر متصل می‌شود.
- تأیید با امکانات دستگاه: اثر انگشت، Face ID یا تشخیص چهره، PIN، قفل دستگاه و Windows Hello، بسته به پشتیبانی محیط قابل استفاده‌اند.
- کلید امنیتی سخت‌افزاری: کلیدهای سازگار با WebAuthn می‌توانند به‌عنوان روش ورود حساب ثبت شوند.
- بررسی پاسخ استاندارد: برای ثبت و ورود، درخواست موقت و یکتا تولید و پاسخ مرتبط با آن اعتبارسنجی می‌شود؛ روش ثبت‌شده به دامنه مربوط وابسته است.
- چند روش برای هر حساب: ثبت، مدیریت و حذف چند کلید یا دستگاه برای هر کاربر پشتیبانی می‌شود.
- ورود در کنار کد یک‌بارمصرف: گزینه WebAuthn در فرم ورود جم پک قرار می‌گیرد تا کاربر دارای روش ثبت‌شده، بدون دریافت پیامک در هر مراجعه وارد شود.
- کنترل درخواست‌های عمومی: محدودیت تعداد درخواست برای مسیرهای عمومی ثبت درخواست و ورود در نظر گرفته شده است.
مزایای اصلی
- انتظار کمتر در مراجعات بعدی: کاربر دارای روش ثبت‌شده، برای هر بار ورود به دریافت پیامک وابسته نیست.
- حفظ حریم خصوصی بیومتریک: بررسی اثر انگشت و چهره روی دستگاه انجام می‌شود و داده خام آن در وردپرس نگهداری نمی‌شود.
- وابستگی کمتر به یک دستگاه: چند روش ثبت‌شده و مسیر ورود جایگزین، گزینه‌های بیشتری برای حفظ دسترسی فراهم می‌کنند.
- اتصال ورود به دامنه درست: روش ثبت‌شده برای سایت، برای استفاده روی دامنه جعلی دیگری طراحی نشده است.
چرا این ویژگی مهم است؟
رمز و کد پیامکی هرکدام هزینه‌ای در تجربه ورود دارند: یکی باید به خاطر سپرده شود و دیگری باید به دست کاربر برسد. برای کاربران بازگشتی، تأیید با دستگاهی که قبلاً به حساب متصل شده، مسیر دیگری فراهم می‌کند.
در این روش، سایت برای شناخت کاربر به دریافت تصویر چهره یا اثر انگشت نیاز ندارد. تأیید محلی دستگاه و پاسخ استاندارد رمزنگاری‌شده، مرز میان اطلاعات بیومتریک شخصی و داده موردنیاز ورود سایت را حفظ می‌کنند.
مناسب برای چه سایت‌هایی است؟
- فروشگاه‌های دارای مشتریان بازگشتی: برای ورودهای بعدی بدون نیاز به پیامک در هر مراجعه.
- سایت‌های دارای کاربران با دستگاه سازگار: برای استفاده از اثر انگشت، تشخیص چهره یا قفل دستگاه در تأیید ورود.
- وب‌سایت‌های دارای کاربران کلید امنیتی: برای ثبت ابزار سخت‌افزاری سازگار به حساب.
- سایت‌های حساس به حریم خصوصی بیومتریک: برای تأیید روی دستگاه بدون دریافت داده خام چهره یا اثر انگشت در سایت.
- سایت‌های استفاده‌کننده از فرم ورود جم پک: برای ارائه WebAuthn در کنار مسیر کد یک‌بارمصرف و روش جایگزین.
سازگاری و نکات فنی
- نیازمندی و پلن: وردپرس، فرم ورود یک‌بارمصرف جم پک، پلن حرفه‌ای و HTTPS معتبر برای تجربه کامل لازم‌اند.
- مرورگر و دستگاه: مرورگر، سیستم‌عامل و ابزار تأیید هویت باید استاندارد WebAuthn را پشتیبانی کنند. نوع پنجره و روش تأیید را سیستم‌عامل تعیین می‌کند؛ افزونه به دستگاه فاقد حسگر، قابلیت بیومتریک اضافه نمی‌کند.
- داده ذخیره‌شده: کلید عمومی و اطلاعات لازم روش ورود در سایت ثبت می‌شوند؛ کلید خصوصی نزد دستگاه، سیستم‌عامل یا کلید امنیتی باقی می‌ماند. تصویر چهره و اثر انگشت خام در سایت ذخیره نمی‌شوند.
- دامنه و همگام‌سازی: تغییر دامنه یا زیر دامنه می‌تواند ثبت دوباره را ضروری کند. همگام‌سازی Passkey میان دستگاه‌ها، در صورت وجود، به پلتفرم و حساب کاربر وابسته است و توسط جم پک کنترل نمی‌شود.
- حفظ دسترسی: ثبت روش جدید به احراز هویت اولیه نیاز دارد. نبود همه روش‌های ثبت‌شده و مسیر جایگزین می‌تواند کاربر را از حساب محروم کند؛ WebAuthn نباید تنها راه بازیابی باشد.
- قالب و نشست: جایگزینی کامل فرم ورود جم پک ممکن است به بررسی سازگاری نیاز داشته باشد. صفحه مدیریت روش‌های ورود نیز نباید کش عمومی شود.
- ارتباط با ورود پیامکی: ورود یک‌بارمصرف می‌تواند برای احراز هویت اولیه و حفظ مسیر جایگزین باقی بماند؛ کنترل‌های ارسال پیامک در ویژگی جداگانه خود قرار دارند.
