Panduan implementasi untuk developer
Gunakan checklist ini sebelum menerapkan autentikasi wajah ke produksi
Panduan ini ditujukan bagi tim engineering dan produk yang memerlukan rencana praktis untuk menerapkan autentikasi biometrik pada aplikasi web. Untuk ringkasan komersial, model deployment, dan posisi produk, buka halaman autentikasi biometrik untuk aplikasi web.
1. Tentukan fungsi autentikasi
Sebelum menulis kode, tentukan posisi autentikasi wajah dalam perjalanan pengguna. Keputusan ini menghindari ambiguitas pada produk dan menyederhanakan arsitektur autentikasi.
Login utama
Gunakan FACEIO sebagai metode autentikasi tanpa kata sandi setelah pengguna melakukan pendaftaran wajah.
Faktor kedua
Pertahankan login yang ada dan tambahkan autentikasi wajah untuk meningkatkan perlindungan akun.
Verifikasi tambahan
Minta pemindaian wajah sebelum tindakan sensitif seperti pembayaran, perubahan admin, atau akses ke data yang dilindungi.
2. Siapkan alur autentikasi web
Alur login biometrik produksi memerlukan lebih dari sekadar permintaan akses kamera. Perlakukan widget browser, backend, dan lapisan sesi sebagai batas kepercayaan yang terpisah.
- Buat aplikasi FACEIO di FACEIO Console, lalu simpan App ID publik secara terpisah dari kunci privat REST API.
- Muat SDK fio.js hanya pada halaman yang memerlukan pendaftaran, autentikasi, atau verifikasi tambahan.
- Panggil
enroll()hanya setelah pengguna menyetujui pemberitahuan persetujuan biometrik. - Panggil
authenticate()untuk login, faktor kedua, atau verifikasi tambahan berdasarkan kebijakan. - Validasi peristiwa autentikasi di server sebelum membuat atau meningkatkan sesi. Gunakan dokumentasi REST API dan webhooks untuk implementasi backend.
3. Tangani deteksi keaktifan, anti-spoofing, dan pemulihan pengguna
Autentikasi wajah harus mengevaluasi pengambilan gambar baru dan indikator liveness tanpa menciptakan jalan buntu bagi dukungan. FACEIO menyediakan hasil autentikasi dan anti-spoofing, sedangkan aplikasi Anda menentukan percobaan ulang, akses alternatif, dan keputusan risiko.
Logika percobaan ulang
Jelaskan masalah kamera, pencahayaan, dan izin dengan bahasa yang jelas. Jangan terus mengulang pengambilan gambar yang gagal tanpa menyediakan jalur pemulihan.
Akses alternatif
Tentukan cara pengguna memulihkan akses jika kamera tidak tersedia, pendaftaran biometrik perlu diatur ulang, atau diperlukan pemeriksaan manual.
Penanganan berdasarkan risiko
Untuk fintech, marketplace, atau alur yang memerlukan pemeriksaan tambahan, gabungkan autentikasi biometrik dengan kontrol risiko Anda sendiri. Lihat panduan fintech dan eKYC, ID Match, serta praktik terbaik keamanan untuk pola pencocokan wajah dan autentikasi.
4. Pastikan aturan privasi, persetujuan, dan retensi
Autentikasi biometrik memerlukan tingkat kepercayaan yang lebih tinggi daripada kata sandi. Tim produk, legal, dan engineering harus menyepakati pemberitahuan persetujuan, proses penghapusan, dan dukungan sebelum peluncuran.
- Tampilkan pemberitahuan persetujuan biometrik yang jelas sebelum pendaftaran.
- Jelaskan tujuan autentikasi wajah dan cara pengguna menolaknya jika berlaku.
- Dokumentasikan penghapusan akun, Facial ID, dan hash biometrik melalui endpoint DELETEFACIALID pada REST API.
- Tinjau implementasi melalui Pusat Kepercayaan FACEIO, Kebijakan Privasi, praktik terbaik privasi, dan praktik terbaik keamanan.
5. Terapkan secara bertahap
Peluncuran bertahap menghasilkan metrik yang lebih jelas dan mengurangi masalah dukungan. Mulai dengan kelompok terbatas, lalu perluas setelah pendaftaran, tingkat keberhasilan autentikasi, percobaan ulang, dan tiket dukungan stabil.
Uji coba
Aktifkan autentikasi biometrik lebih dahulu untuk karyawan, pengguna beta, atau segmen berisiko rendah.
Produksi
Perluas penerapan setelah pemantauan, prosedur dukungan, dan validasi backend telah dikonfirmasi.
6. Verifikasi backend dan pengikatan sesi
Kesalahan yang umum adalah memercayai hasil autentikasi di sisi klien. Browser bukan batas yang tepercaya karena nilai dapat diubah atau diputar ulang. Backend harus memverifikasi setiap peristiwa autentikasi sebelum menerbitkan sesi.
- Verifikasi hasil autentikasi di server menggunakan kunci privat REST API dan Facial ID yang dikembalikan.
- Ikat sesi ke Facial ID yang telah diverifikasi, bukan ke ID pengguna yang dikirim oleh klien.
- Tolak hasil jika validasi PIN Code, timestamp, origin permintaan, atau pemetaan pengguna tidak sesuai dengan catatan Anda.
- Catat peristiwa verifikasi untuk audit tanpa menyimpan media pengambilan gambar atau hash biometrik dalam log aplikasi.
Praktik terbaik keamanan, halaman API autentikasi wajah, dan checklist API membahas pola server secara terperinci.
Referensi developer untuk autentikasi biometrik
Gunakan dokumentasi FACEIO ini agar konfigurasi, integrasi frontend, validasi backend, dan pengaturan FACEIO Console tetap selaras.
Pertanyaan yang sering diajukan
Apa perbedaan checklist ini dengan halaman komersial autentikasi biometrik?
Ini adalah checklist teknis untuk implementasi. Halaman utama autentikasi biometrik membahas ringkasan produk, model deployment, dan penggunaannya untuk bisnis.
Dapatkah autentikasi wajah digunakan sebagai faktor kedua tanpa mengganti kata sandi?
Ya. FACEIO dapat digunakan sebagai login utama, faktor kedua, atau verifikasi tambahan. Untuk alur berisiko lebih tinggi, lihat panduan pencegahan penipuan e-commerce.
Apa yang terjadi jika kamera pengguna tidak tersedia?
Sediakan opsi alternatif seperti kata sandi, OTP, pemulihan akun, atau dukungan agar masalah kamera, perangkat, atau aksesibilitas tidak mengunci pengguna.
Apakah hasil autentikasi harus divalidasi di backend?
Ya. Jangan membuat sesi berdasarkan hasil di sisi klien. Backend harus memvalidasinya dengan kunci privat REST API seperti dijelaskan dalam praktik terbaik keamanan.
Panduan terkait
Terapkan autentikasi biometrik dengan dasar yang tepat
Gunakan checklist ini bersama dokumentasi integrasi, lalu hubungkan setiap peristiwa autentikasi dengan keputusan sesi di server. Untuk melihat produk dan pilihan deployment, buka halaman autentikasi biometrik. Buat aplikasi di FACEIO Console, salin App ID publik, dan mulai mengintegrasikan fio.js.