Webアプリ向け生体認証ログイン

パスワードログインでは、復旧や認証情報の管理が必要になることがあります。ブラウザー上の生体認証ログインは、パスワード入力をライブ顔認証に置き換えながら、セッションの制御をバックエンドに残します。

パスワード欄をカメラによる認証チェックに置き換えることで、アプリのサインインを速くし、共有シークレットへの依存を減らせます。

従来、生体認証の導入には専用センサーやネイティブアプリ基盤が必要で、管理対象デバイスや制御された環境に展開が限られていました。

FACEIOは、fio.js SDKを使用してブラウザー上で顔認証を提供します。ユーザーには、対応する最新ブラウザーと標準的な前面カメラが必要です。ネイティブアプリのラッパー、ブラウザープラグイン、ハードウェアトークン、専用の生体認証センサーは必要ありません。

既存のログインページとセッション基盤に、生体認証ログインを追加できます。fio.js SDKはフロントエンドで動作し、返されたFacial IDは、登録時に指定したpayloadを介してユーザーレコードに紐付けられます。

<!-- SDKを読み込む -->
<script src="https://cdn.faceio.net/fio.js"></script>

<!-- 初期化 -->
<script>
const faceio = new faceIO('app-id-here');
</script>

// パスワードと併用または置き換え
faceio.authenticate({ locale: 'auto' })
  .then((data) => {
    // バックエンドへ送信してセッションを発行
    sendToBackend(data.facialId, data.payload);
  })
  .catch((err) => handleError(err));

カメラによる生体認証ログインは、写真、再生動画、合成メディアなどの一般的な回避攻撃に対抗できて初めて有効です。FACEIOは認証イベントでプラットフォーム側の対策を行いますが、サーバー側の検証とアカウントポリシーはアプリケーションの責任です。

• ライブネス検出とアンチスプーフィング

  写真、印刷画像、動画や画面の再生、合成メディアによる試行に関連するライブネスと提示攻撃の指標を評価します。すべての試行を識別できる検出層はありません。本番環境の制御についてはセキュリティのベストプラクティスガイドをご覧ください。

• Facial IDと生体認証ハッシュ

  アプリケーションが保存するのは返された Facial ID であり、顔の生データではありません。選択した顔認証エンジンは、アプリケーション所有者の設定、同意フロー、削除ポリシーに従って、復元できない生体認証ハッシュまたはアプリケーションインデックスを保存します。詳細はFacial IDとプライバシーのベストプラクティスを参照してください。

• サーバー側検証とレート制限

  バックエンドは返されたFacial IDをユーザーレコードに紐付け、独自のセッションルールと認可ルールを適用します。プライベートREST APIキーはサーバー側で管理してください。プラットフォームのレート制御と、デフォルトで有効なPIN Code検証により、反復的または不審な認証試行に追加のチェックを適用できます。

生体認証ログインは、ブラウザーからカメラにアクセスできるWebアプリに追加できます。パスワード入力や再利用可能な認証情報への依存を減らしたい場合に検討できます。

業界や導入環境に関する質問は、コミュニティフォーラムとサポートチームをご利用ください。