La nouvelle norme Web prendra en charge la connexion sans mot de passe sur n'importe quel site Web

Aujourd'hui marque un grand jour pour Internet, car le W3C et FIDO Alliance ont annoncé une nouvelle façon pour les navigateurs Web de se connecter aux services en ligne. La nouvelle norme d'authentification Web offrira un moyen plus simple et plus crypté de se connecter à chaque site.

WebAuthn attend l'approbation du W3C depuis près de deux ans, mais marque aujourd'hui la première annonce majeure en faveur de la nouvelle norme. La norme est prise en charge dans la dernière version de Firefox et arrivera sur Chrome et Edge dans les prochains mois. Apple, cependant, n'a encore rien partagé sur le support Safari, mais nous nous attendons à ce qu'ils en partagent plus bientôt. Opera a également partagé son engagement à apporter bientôt un support pour les nouvelles normes.

Ce nouveau changement ouvrira la voie à de nouvelles méthodes de connexion comme la biométrie et les jetons USB. La nouvelle norme empêchera également le phishing dans une large mesure, ce qui est un autre point positif.

Auparavant, le travail de prise en charge des jetons se déroulait entre de grandes entreprises comme Google, Microsoft et Facebook, qui mettaient en œuvre leurs propres pilotes. Avec WebAuthn, vous pourrez utiliser les bibliothèques couramment disponibles.

– Selena Deckelman

Voici comment cela fonctionnera :

1.1.1. Inscription

• Sur un téléphone :
  • L'utilisateur accède à example.com dans un navigateur et se connecte à un compte existant à l'aide de la méthode qu'il a utilisée (éventuellement une méthode héritée telle qu'un mot de passe) ou crée un nouveau compte.
  • Le téléphone vous demande « Voulez-vous enregistrer cet appareil sur example.com ? »
  • L'utilisateur accepte.
  • Le téléphone invite l'utilisateur à saisir un geste d'autorisation (NIP, biométrique, etc.) ; l'utilisateur le fournit.
  • Le site Web affiche le message "Enregistrement terminé".

1.1.2. Authentification

• Sur un ordinateur portable ou de bureau :
  • L'utilisateur accède à example.com dans un navigateur, voit une option "Se connecter avec votre téléphone".
  • L'utilisateur choisit cette option et reçoit un message du navigateur : "Veuillez effectuer cette action sur votre téléphone".
• Ensuite, sur leur téléphone :
  • L'utilisateur voit une invite ou une notification discrète, "Se connecter à example.com".
  • L'utilisateur sélectionne cette invite/notification.
  • L'utilisateur voit une liste de ses identités example.com, par exemple, "Se connecter en tant qu'Alice / Se connecter en tant que Bob."
  • L'utilisateur choisit une identité, est invité à geste d'autorisation (PIN, biométrique, etc.) et le fournit.
• Maintenant, de retour sur l'ordinateur portable :
  • La page Web indique que l'utilisateur sélectionné est connecté et accède à la page de connexion.

Nous sommes encore loin des jours où il vous suffit de regarder votre appareil photo et de vous connecter à Facebook, mais c'est certainement le premier pas dans la bonne direction.

La source: W3C via: Engadget