B2C-Authentifizierung für Verbraucher-Apps
B2C-Authentifizierung ist die Registrierung und Anmeldung, die ein Verbraucherprodukt der Öffentlichkeit anbietet, wo jeder ein Konto anlegen kann und schnell und sicher hineinkommen will. Die Skycloak Platform ist dafür gebaut, mit Passkeys, Multi-Faktor-Authentifizierung, einer Prüfung kompromittierter Passwörter und langen Sitzungen für mobile Apps im Plan, und die Daten Ihrer Benutzer bleiben in den USA oder in der Europäischen Union.
Wie sich die Anmeldung für Verbraucher von der für Geschäftsbenutzer unterscheidet
In einem Geschäftsprodukt legt meist ein Administrator die Konten an oder verbindet den Identitätsanbieter des Unternehmens. In einem Verbraucherprodukt registrieren sich die Leute selbst, oft auf dem Telefon, und viele brechen ab, wenn das Formular langsam oder verwirrend ist. Weil sich jeder registrieren kann, ist dieselbe Registrierungsseite auch ein Ziel für automatisierte Kontoerstellung und für Angreifer, die auf anderen Seiten geleakte Passwörter ausprobieren.
B2C-Authentifizierung ist deshalb ein Ausgleich zwischen einem kurzen Weg für echte Menschen und Prüfungen, die Missbrauch stoppen. Eine gute Einrichtung fragt bei der Registrierung wenig ab, bietet Anmeldemethoden, die nicht vom Merken eines Passworts abhängen, und ergänzt stärkere Prüfungen dort, wo sie nötig sind. Sie muss außerdem mit der Zahl der Benutzer mitwachsen, und auf der Plattform ist diese Kapazität Aufgabe von Skycloak und nicht Ihres Teams.
Passkeys, Prüfung kompromittierter Passwörter und MFA
Mit Passkeys meldet sich ein Benutzer über den Fingerabdrucksensor, die Gesichtserkennung oder die Bildschirmsperre seines Geräts an statt mit einem Passwort. Ein Passkey ist an Ihre Anmeldeadresse gebunden, sodass eine nachgemachte Seite ihn nicht abgreifen und später verwenden kann, und das schützt Benutzer vor Phishing, einem verbreiteten Weg, Verbraucherkonten zu übernehmen. Passkeys stehen im Plan der Plattform, neben Passwörtern für Benutzer, die diese weiterhin bevorzugen.
Für Passwörter sieht der Plan eine Prüfung gegen die Daten von Have I Been Pwned vor, die Passwörter aus bekannten Datenlecks erkennt. Ist dieser Dienst nicht erreichbar, bleibt die Anmeldung erlaubt und das Passwort wird gegen eine lokale Kopie geprüft, sodass ein externer Ausfall Ihre Benutzer nicht aussperrt. Multi-Faktor-Authentifizierung steht ebenfalls im Plan, und da die Plattform noch im Aufbau ist, zeigt eine Demo, welche dieser Funktionen bereits ausgeliefert sind.
Lange Sitzungen auf Mobilgeräten und wo Benutzerdaten liegen
Mobile Benutzer erwarten, tage- oder wochenlang angemeldet zu bleiben, ohne ihr Passwort erneut einzugeben. Die Plattform löst das mit einem Offline-Refresh-Token, angefordert mit dem Scope offline_access, das standardmäßig 7 Tage gilt und pro App auf bis zu 30 Tage eingestellt werden kann. Das Token wird bei jeder Nutzung rotiert, die Wiederverwendung eines alten Tokens wird erkannt, und die Abmeldung in dieser App, ein Widerrufsaufruf oder ein Administrator können es jederzeit beenden. Browsersitzungen sind davon getrennt und enden mit der Single-Sign-on-Sitzung oder bei der Abmeldung.
Jeder Mandant läuft in den USA oder in der Europäischen Union, gewählt bei seiner Anlage, und jeder Datensatz bleibt in dieser Region. Jede Ihrer Umgebungen ist ein eigener Mandant, sodass sich Staging-Konten nie mit echten Kunden mischen. Die Anmeldung hängt außerdem nicht von der Konsole der Plattform ab, die keine Endbenutzerdaten hält, sodass sich Ihre Benutzer auch dann anmelden können, wenn die Konsole ausfällt.
Häufige Fragen
Behalten unsere Benutzer ihre Konten, wenn wir von Keycloak wechseln?
Ja. Die Plattform ist dafür gebaut, die Benutzer eines Keycloak-Realms mit ihren Passwörtern, MFA-Einstellungen und Passkeys zu übernehmen, sodass am Tag des Umzugs niemand sein Passwort zurücksetzen muss. Sie stellt außerdem Keycloak-kompatible Adressen und Token-Formate bereit, damit Ihre Apps weiter funktionieren.
Wie lange bleibt ein mobiler Benutzer angemeldet?
So lange, wie das Offline-Refresh-Token der App gültig ist, eine Laufzeit, die Sie pro App innerhalb der oben beschriebenen Grenzen einstellen. Das Token wird bei jeder Nutzung rotiert, und die Abmeldung in der App, ein Widerrufsaufruf oder ein Administrator können es früher beenden.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.