นอกเหนือจากวิธีการลงชื่อเข้าใช้ที่มีอยู่แล้ว ให้ใช้วิธีการตรวจสอบสิทธิ์ที่ป้องกันฟิชชิง โดยเฉพาะพาสคีย์ที่ใช้ FIDO หรือ WebAuthn หรือการลงชื่อ เพียงครั้งเดียวจากผู้ให้บริการข้อมูลประจำตัวแบบรวมที่ยอมรับ เช่น ลงชื่อเข้าใช้ด้วย Google
หลักเกณฑ์นี้จะช่วยรักษาความปลอดภัยของแอปและทำให้การลงชื่อเข้าใช้ของผู้ใช้ง่ายขึ้นด้วยการลดช่องโหว่ต่างๆ เช่น ความเหนื่อยล้าจากรหัสผ่าน การยัดข้อมูลเข้าสู่ระบบ และฟิชชิง
การติดตั้งใช้งานที่จำเป็น
หากต้องการมีสิทธิ์ใช้ AEP แอปของคุณต้องเสนอวิธีการตรวจสอบสิทธิ์ที่ป้องกันฟิชชิงที่ได้รับอนุมัติอย่างน้อย 1 วิธี (พาสคีย์หรือผู้ให้บริการลงชื่อเพียงครั้งเดียว (SSO) ที่ได้รับอนุมัติ) เมื่อลงชื่อเข้าใช้ในลักษณะที่โดดเด่นคล้ายกัน
- สำหรับพาสคีย์ ระบบจะยืนยันโดยการสร้างและเรียกข้อมูลพาสคีย์ผ่าน Credential Manager API
- แอปที่ใช้ลงชื่อเข้าใช้ด้วย Google ต้องผสานรวมผ่าน Credential Manager API แม้ว่าเราจะยอมรับผู้ให้บริการ SSO อื่นๆ ที่ได้รับอนุมัติ แต่ขอแนะนำให้ใช้การลงชื่อเข้าใช้ด้วย Google เนื่องจาก มีขั้นตอนการตรวจสอบสิทธิ์ที่ทันสมัยซึ่งช่วยปกป้องผู้ใช้จากการฟิชชิง พร้อมทั้งมอบประสบการณ์การใช้งานที่สอดคล้องกันในทุกแพลตฟอร์ม
การบังคับใช้หลักเกณฑ์
หลักเกณฑ์นี้ใช้กับ
- แอปที่ต้องการมีสิทธิ์ใช้ AEP และกำหนดให้ผู้ใช้ลงชื่อเข้าใช้
- รูปแบบของอุปกรณ์โทรศัพท์, แท็บเล็ต, อุปกรณ์พับได้, XR, Wear และ Auto
การยกเว้น
หลักเกณฑ์นี้ไม่มีผลกับแอปที่ไม่รองรับการตรวจสอบสิทธิ์ผู้ใช้หรือ สถานะที่ลงชื่อเข้าใช้
นอกจากนี้ คุณยังส่งผู้ให้บริการข้อมูลประจำตัวแบบรวมทางเลือกเพื่อรับการประเมินได้ที่นี่ หากเชื่อว่าควรพิจารณาผู้ให้บริการดังกล่าวควบคู่ไปกับผู้ให้บริการที่ยอมรับ
ผู้ให้บริการข้อมูลประจำตัวแบบรวมศูนย์ที่ยอมรับสำหรับ SSO
เรายอมรับผู้ให้บริการข้อมูลประจำตัวแบบรวมสำหรับผู้บริโภคต่อไปนี้สำหรับข้อกำหนดการลงชื่อเพียงครั้งเดียว
- ลงชื่อเข้าใช้ด้วย Google
- ลงชื่อเข้าใช้ด้วย Apple
- บัญชี Microsoft (ผู้ใช้ทั่วไป)
- Shop.app
- การเข้าสู่ระบบ Amazon
- การเข้าสู่ระบบ GitHub
- ลงชื่อเข้าใช้ Discord
- เข้าสู่ระบบด้วย LINE หรือ Kakao
- เข้าสู่ระบบ WeChat
- การเข้าสู่ระบบด้วย Facebook
เราจะตรวจสอบรายการนี้เป็นระยะๆ เมื่อระบบนิเวศของข้อมูลประจำตัวแบบรวมมีการเปลี่ยนแปลง เกณฑ์การประเมินมีดังนี้
- การควบคุมความเป็นส่วนตัวและความปลอดภัยของผู้ใช้
- ประสบการณ์การใช้งานของนักพัฒนาแอปและการผสานรวม (สอดคล้องกับ Android Credential Manager API ดั้งเดิม และการปฏิบัติตามมาตรฐานแบบเปิด)
- ร่องรอยของผู้บริโภคที่ใช้งานอยู่
เอกสารและแหล่งข้อมูลของฟีเจอร์
แหล่งข้อมูลต่อไปนี้จะให้คำแนะนำในการติดตั้งใช้งานและรายละเอียดทางเทคนิคเกี่ยวกับ การตรวจสอบสิทธิ์ที่ป้องกันฟิชชิง แหล่งข้อมูลเหล่านี้มีไว้เพื่อใช้อ้างอิงเท่านั้น และไม่มีข้อกำหนดเพิ่มเติมของโปรแกรม