Gestire le passkey

Per offrire un'esperienza con le passkey solida, ti consigliamo di implementare quanto segue nella tua app:

  • Gestione delle passkey utente: includi una sezione dedicata alla gestione delle passkey nelle impostazioni dell'app per consentire agli utenti di gestire le proprie passkey.
  • Integrazione del fornitore di credenziali: per comunicare con i fornitori di credenziali, il server delle app può implementare gli endpoint passkey per la registrazione, l'autenticazione e l'eliminazione.

Gestione delle passkey utente

Per consentire agli utenti di gestire le proprie passkey, includi una sezione dedicata alla gestione delle passkey nella tua app, in modo che gli utenti possano creare, visualizzare, rinominare ed eliminare le proprie passkey.

Mostrare le passkey disponibili

Nelle impostazioni delle passkey della tua app, fornisci agli utenti informazioni tra cui il fornitore di credenziali utilizzato per creare le credenziali, la data di creazione e la data dell'ultimo utilizzo.

Per ottenere le informazioni sul fornitore delle credenziali, utilizza l'identificatore univoco globale (AAGUID) di Authenticator Attestation associato alla passkey corrispondente. L'AAGUID fa parte di PublicKeyCredential restituito quando crei la passkey. L'AAGUID consente di identificare il provider di credenziali che ha creato la passkey. Per saperne di più, consulta Determinare il provider di passkey con AAGUID.

La tua app può mostrare i seguenti dettagli relativi a una passkey:

  • Nome passkey: mostra il nome assegnato al momento della registrazione della passkey. Il nome ideale si basa sul fornitore di credenziali (utilizzando l'AAGUID); se il fornitore non può essere identificato, utilizza le informazioni sul modello del dispositivo da android.os.Build.
  • Logo del fornitore: mostra il logo del fornitore di credenziali. Questo suggerimento visivo aiuta gli utenti a identificare rapidamente la passkey corretta che vogliono gestire.
  • Timestamp: fornisci il timestamp di creazione e l'ultimo timestamp di utilizzo. Queste informazioni aiutano gli utenti a gestire le proprie credenziali e a identificare le passkey vecchie o inutilizzate.
  • Indicatore di stato della sincronizzazione: per impostazione predefinita, le passkey vengono sincronizzate con i fornitori di credenziali, ma le funzionalità di sincronizzazione possono variare. Per evitare confusione tra gli utenti, indica chiaramente se una passkey non supporta la sincronizzazione.
  • Dettagli dell'ultimo accesso (facoltativo): fornisci dettagli come browser, sistema operativo o indirizzo IP o posizione dell'ultimo accesso. Si tratta di una funzionalità opzionale utile per identificare potenziali attività sospette.

Oltre a questi dettagli, la schermata deve avere pulsanti che consentano agli utenti di gestire, eliminare o rinominare ogni passkey.

La pagina delle impostazioni dell'app mostra tutte le passkey salvate per l'app, con il fornitore delle credenziali e la data di creazione.
Figura 1.La pagina delle impostazioni dell'app mostra tutte le passkey salvate per l'app, con il fornitore delle credenziali e la data di creazione.

Creare più passkey

Sebbene tu debba offrire agli utenti opportunità di creare passkey durante il loro percorso utente, ad esempio subito dopo l'accesso, la sezione delle impostazioni delle passkey della tua app deve consentire agli utenti di creare passkey dal provider di credenziali che preferiscono.

Per ridurre il rischio di blocchi dell'account, consenti agli utenti di registrare più passkey con diversi fornitori di credenziali. Se un provider di credenziali diventa inaccessibile, ad esempio se la piattaforma interrompe il supporto o l'utente perde l'accesso, può utilizzare un'altra passkey per accedere. Assicurati che il tuo database supporti l'archiviazione di più credenziali per utente. Tuttavia, puoi impedire agli utenti di creare una passkey per lo stesso account con lo stesso provider di credenziali.

Eliminare le passkey

La sezione delle impostazioni delle passkey dell'app deve consentire agli utenti di eliminare le passkey.

Integrazione del fornitore di credenziali

Per mantenere la coerenza delle passkey tra il server dell'app e il fornitore di credenziali, attiva la gestione delle passkey dal percorso predefinito /.well-known/passkey-endpoints sul server dell'app. In questo modo, i fornitori di credenziali possono utilizzare direttamente questi endpoint per la gestione delle passkey. Per saperne di più, vedi Aggiungere endpoint passkey.

Risorse aggiuntive