Récupérer une adresse e-mail validée à l'aide d'identifiants numériques

Ce document décrit comment utiliser Credential Manager pour obtenir une adresse e-mail validée par chiffrement à partir de l'appareil d'un utilisateur. Ce processus évite aux utilisateurs de votre application de valider leur adresse e-mail à l'aide de mots de passe à usage unique ou de liens magiques.

Ce document aborde les points suivants :

  • Compatibilité avec Android
  • Expérience utilisateur
  • Comptes acceptés
  • Implications sur la distribution des e-mails
  • Comparaison avec Se connecter avec Google

Ce guide suppose que vous connaissez les concepts suivants :

Compatibilité avec Android

Cette fonctionnalité est compatible avec les téléphones, les tablettes et les appareils pliables équipés d'Android 9 (niveau d'API 28) ou version ultérieure. La version minimale requise des services Google Play (GMS) est la 25.49.x.

Expérience utilisateur

Les sections suivantes décrivent l'expérience utilisateur pendant le flux de validation, la nécessité d'inclure des méthodes de validation de secours, ainsi que l'expérience utilisateur recommandée pour différents cas d'utilisation.

Flux de validation

L'expérience utilisateur pour le partage d'une adresse e-mail validée est la suivante :

  1. L'utilisateur sélectionne un champ de saisie ou appuie sur un bouton qui appelle l'API Credential Manager. En fonction de la conception de l'écran, vous pouvez également appeler l'API lors du chargement de l'écran de votre application.

  2. Une bottom sheet s'affiche, indiquant les informations qui seront partagées avec l'application. Si aucune information n'est disponible sur cet appareil, l'utilisateur voit un message d'erreur générique.

  3. Une fois que l'utilisateur a appuyé sur Accepter et continuer, affichez un message de réussite ou d'échec message.

  4. Facultatif : Si l'utilisateur s'inscrit à votre service, invitez-le à créer une clé d'accès pour faciliter ses connexions ultérieures.

Inclure des flux principaux et de secours

Pour garantir une expérience utilisateur simplifiée, incluez les options suivantes sur les écrans qui nécessitent une validation de l'adresse e-mail :

  • Option de validation principale : un champ ou un bouton d'adresse e-mail pour déclencher le flux de l'API Credential Manager pour une validation rapide.
  • Autres options de validation : un lien ou un bouton permettant aux utilisateurs de « Valider d’une autre manière » ou avec « Autres options » pour la saisie manuelle de l’adresse e-mail en cas d’échec, par exemple si aucune information n’est disponible sur l’appareil ou si l’adresse e-mail récupérée ne correspond pas à celle attendue. Cela devrait permettre aux utilisateurs de tenter la validation avec un autre identifiant ou en fournissant un mot de passe à usage unique manuel.

Cas d'utilisation

Les sections suivantes décrivent les cas d'utilisation recommandés, ainsi que l'expérience utilisateur suggérée, pour la validation de l'adresse e-mail.

S'inscrire

Les utilisateurs peuvent créer immédiatement un compte avec une adresse e-mail validée sans étape de validation distincte. Vous pouvez également inviter l'utilisateur à ajouter une clé d'accès. S'il choisit d'ajouter une clé d'accès, déclenchez le flux de création de la clé d'accès.

Utiliser la validation de l'adresse e-mail lors de l'inscription, puis créer des clés d'accès
Validation de l'adresse e-mail lors de l'inscription

Récupération de compte

Pour éviter aux utilisateurs de devoir chercher des codes de récupération dans leurs dossiers de spam, autorisez-les à récupérer leur compte à l'aide de l'adresse e-mail validée stockée de manière sécurisée sur leur appareil. Nous vous suggérons également de leur proposer de créer une clé d'accès pour une utilisation ultérieure.

Utiliser la validation de l'adresse e-mail lors de la récupération de compte
Validation de l'adresse e-mail lors de la récupération de compte

Réauthentification pour les actions sensibles

Protégez les actions sensibles des utilisateurs, telles que la modification des paramètres ou la mise à jour des informations de profil, en exigeant une étape de réauthentification rapide.

Utiliser la validation de l'adresse e-mail lors de la réauthentification
Validation de l'adresse e-mail lors de la réauthentification

Comptes acceptés

La validation de l'adresse e-mail via le Gestionnaire d'identifiants n'est compatible qu'avec la validation des comptes Google grand public. Les comptes Workspace et les comptes supervisés ne sont pas acceptés.

Un compte Google personnel peut être créé avec une adresse e-mail de n'importe quel fournisseur, pas nécessairement @gmail.com. Toutefois, Google valide ces comptes différemment :

  • Pour les comptes @gmail.com : Google est la source faisant autorité, et l'adresse e-mail est connue pour être validée.
  • Pour les comptes non @gmail.com : Google n'est pas la source faisant autorité pour ces adresses e-mail à long terme. Bien que Google valide l'adresse e-mail lors de la création du compte, la propriété de cette adresse e-mail peut changer au fil du temps. Par conséquent, pour les adresses non @gmail.com, vous devez envisager une étape de validation supplémentaire, par exemple en envoyant un mot de passe à usage unique, pour vous assurer que l'utilisateur a toujours accès au compte de messagerie.

Pour en savoir plus sur ce qu'implique la validation, consultez Identifiants numériques.

Validité et actualité

Le système émet des identifiants vérifiables en fonction de l'adresse e-mail actuelle de l'utilisateur à partir des comptes Google actifs sur l'appareil. Ces identifiants sont émis à l'avance sur l'appareil, généralement lorsque l'appareil est inactif. Bien que ces identifiants puissent rester valides pendant plusieurs jours, le système effectue une vérification au moment du partage des identifiants pour s'assurer que le compte existe toujours, qu'il est sur l'appareil et que l'adresse e-mail est valide. Il donne ainsi la priorité à l'état immédiat du compte par rapport à la période de validité de l'identifiant.

Pour garantir l'authenticité, une signature de liaison de clé (kb) est générée au moment du partage, intégrant le nonce.

Si un appareil est hors connexion ou si le compte est supprimé, le processus échoue au lieu de fournir un identifiant vérifiable expiré ou un identifiant vérifiable pour un compte Google inactif.

Distribution des e-mails

Bien que le processus confirme la légitimité du compte, il ne garantit pas la distribution dans la boîte de réception (par exemple, l'e-mail peut être redirigé vers le spam). Un mot de passe à usage unique reste la méthode définitive pour confirmer la distribution des e-mails.

Comparaison avec Se connecter avec Google

Bien que les solutions Identifiants numériques et Se connecter avec Google fournissent une adresse e-mail validée, les flux utilisateur et les cas d'utilisation sont différents :

  • Cas d'utilisation : le flux de validation de l'adresse e-mail du Credential Manager n'est pas utilisé exclusivement dans les cas d'utilisation d'inscription ou de connexion, mais peut être utilisé dans n'importe quel cas d'utilisation impliquant la récupération d'une adresse e-mail validée. Cela peut également inclure la récupération de compte.
  • Inscription : le flux du Gestionnaire d'identifiants ne nécessite pas d'inscription Google, contrairement à Se connecter avec Google.
  • Compatibilité multi-plateformes : le flux du Credential Manager est une solution réservée à Android.
  • Champs d'application : contrairement à Se connecter avec Google, qui peut utiliser OAuth 2.0 pour demander l'accès aux données utilisateur (telles que l'agenda ou Drive via des champs d'application), l'API Identifiants numériques est strictement destinée à récupérer les attributs d'identité validés. Elle ne peut pas être utilisée pour demander des champs d'application d'autorisation supplémentaires.

Étapes suivantes

Pour implémenter cette fonctionnalité dans votre application, consultez le guide d'implémentation.