Este documento descreve o uso do Gerenciador de credenciais para receber um endereço de e-mail verificado criptograficamente do dispositivo de um usuário. Esse processo elimina a necessidade de os usuários do app verificarem o e-mail com senhas de uso único (OTPs) ou links mágicos.
Este documento explica as seguintes áreas:
- Compatibilidade com Android
- Experiência do usuário
- Contas aceitas
- Implicação da capacidade de entrega de e-mails
- Comparação com o recurso Fazer login com o Google
Este guia pressupõe que você esteja familiarizado com os seguintes conceitos:
Compatibilidade com Android
Esse recurso é compatível com smartphones, tablets e dispositivos dobráveis que executam o Android 9 (nível 28 da API) e versões mais recentes. A versão mínima necessária do Google Play Services (GMS) é a 25.49.x.
Experiência do usuário
As seções a seguir descrevem a experiência do usuário durante o fluxo de verificação, a necessidade de incluir métodos de verificação de fallback e a experiência do usuário recomendada para vários casos de uso.
O fluxo de verificação
A experiência do usuário para compartilhar um e-mail verificado é a seguinte:
O usuário se concentra em um campo de entrada ou toca em um botão que chama a API Credential Manager. Dependendo do design da tela, também é possível chamar a API no carregamento da tela do app.
Uma página inferior aparece mostrando as informações que serão compartilhadas com o app. Se nenhuma informação estiver disponível no dispositivo, o usuário vai receber uma mensagem de erro genérica.
Depois que o usuário tocar em Concordar e continuar, mostre uma mensagem de sucesso ou falha.
(Opcional, recomendado) Se o usuário estiver se inscrevendo no seu serviço, peça para ele criar uma chave de acesso para facilitar o login.
Incluir fluxos principais e de fallback
Para garantir uma experiência do usuário simplificada, inclua as seguintes opções em telas que exigem verificação de e-mail:
- Opção de verificação principal: um campo de e-mail ou botão para acionar o fluxo da API Credential Manager para verificação rápida.
- Opções de verificação alternativas: um link ou botão para que os usuários "Verifiquem de outra forma" ou com "Outras opções" para entrada manual de e-mail em caso de falhas, como nenhuma informação disponível no dispositivo ou uma incompatibilidade entre o e-mail recuperado e o esperado. Isso permite que os usuários tentem a verificação com uma credencial diferente ou fornecendo uma OTP manual.
Casos de uso
As seções a seguir descrevem os casos de uso recomendados, bem como a experiência do usuário sugerida, para verificação de e-mail.
Inscrever-se
Os usuários podem criar uma conta imediatamente com um e-mail verificado sem uma etapa de verificação separada. Se quiser, peça ao usuário para adicionar uma chave de acesso. Se ele optar por adicionar uma chave de acesso, acione o fluxo de criação de chaves de acesso.
Recuperação de conta
Para eliminar a frustração dos usuários que procuram códigos de recuperação nas pastas de spam, permita que eles recuperem a conta usando o e-mail verificado armazenado com segurança no dispositivo. Além disso, sugira que eles criem uma chave de acesso para uso futuro.
Reautenticação para ações sensíveis
Proteja ações sensíveis do usuário, como alterar configurações ou atualizar detalhes do perfil, exigindo uma etapa rápida de reautenticação.
Contas aceitas
A verificação de e-mail pelo Credential Manager só oferece suporte à verificação de Contas do Google pessoais. Contas do Workspace e contas supervisionadas não são aceitas.
Uma Conta do Google pessoal pode ser criada com um endereço de e-mail de qualquer provedor, não necessariamente @gmail.com. No entanto, o Google verifica essas contas de maneira diferente:
- Para contas @gmail.com: o Google é a fonte confiável, e o e-mail é conhecido por ser verificado.
- Para contas que não são @gmail.com: o Google não é a fonte confiável desses endereços de e-mail a longo prazo. Embora o Google verifique o e-mail quando a conta é criada, a propriedade desse endereço de e-mail pode mudar com o tempo. Portanto, para endereços que não são @gmail.com, considere uma etapa de verificação adicional, como o envio de uma OTP, para garantir que o usuário ainda tenha acesso à conta de e-mail.
Para mais informações sobre o que a verificação implica, consulte Credenciais digitais.
Comparação com o recurso Fazer login com o Google
Embora as soluções de credenciais digitais e Fazer login com o Google forneçam um e-mail verificado, os fluxos de usuários e os casos de uso são diferentes:
- Casos de uso: o fluxo de verificação de e-mail do Credential Manager não é usado exclusivamente em casos de uso de inscrição ou login, mas pode ser usado em qualquer caso de uso que envolva a recuperação de e-mail verificado. Isso também pode incluir a recuperação de conta.
- Registro: o fluxo do Credential Manager não exige o registro do Google, ao contrário do recurso Fazer login com o Google.
- Suporte à plataforma: o fluxo do Gerenciador de credenciais é uma solução exclusiva do Android.
- Escopos: ao contrário do recurso Fazer login com o Google, que pode usar o OAuth 2.0 para solicitar acesso aos dados do usuário (como Agenda ou Drive por escopos), a API Digital Credentials é estritamente para recuperar atributos de identidade verificados. Ela não pode ser usada para solicitar outros escopos de autorização.
Próximas etapas
Para implementar esse recurso no seu app, consulte o Guia de implementação.