Webアプリケーション向けパスワードレス認証

パスワードはWeb認証の大きな弱点です。偽のログインページで盗まれ、第三者のデータ漏えいで露出し、複数のサービスで再利用されるため、1つの侵害されたアカウントから別の場所へのアクセスを許してしまいます。クレデンシャルスタッフィングのツールは、漏えいしたユーザー名とパスワードの組み合わせをログインエンドポイントへ継続的に試し、この攻撃を大規模に自動化します。アカウント乗っ取り（ATO）は例外的な事象ではなく、ログイン画面を持つあらゆるプラットフォームの体系的なリスクです。

FACEIO は、パスワードと OTP をブラウザーで動作する顔認証に置き換えます。ダウンロードするアプリ、配布するハードウェアトークン、構築・保守が必要なバックエンドの機械学習基盤はありません。認証は転送可能な秘密情報ではなく、カメラを使ったライブ操作に基づくため、フィッシング、再利用、他人への譲渡が難しくなります。API レベルの詳細は、 顔認証 APIを確認してください。

3 つのフローの実装例は開発者ガイドを、バックエンドイベントの処理方法はWebhooksを確認してください。

パスワードを置き換えると脅威モデルは変わりますが、アカウントに関するすべてのリスクがなくなるわけではありません。FACEIOはliveness、anti-spoofing、PIN Code validation、設定可能なプラットフォーム制御を提供し、セッション発行と認可はバックエンドが管理します。本番導入前にセキュリティのベストプラクティスを確認してください。

脅威モデルの詳細と実装リファレンスについては、開発者ガイドとセキュリティのベストプラクティスを参照してください。

FACEIOウィジェットは、標準的なWebカメラまたはスマートフォンの前面カメラを使い、対応するデスクトップおよびモバイルブラウザーで動作します。ネイティブアプリ、ブラウザープラグイン、専用の生体認証センサーは不要です。

復旧方法

ユーザーが顔認証を完了できない場合、アプリケーション側で適切なフォールバックまたはアカウント復旧プロセスを用意する必要があります。復旧ポリシー、サポート確認、アクセスを復元する判断はアプリケーション所有者が管理します。

復旧フローの設定についてはFACEIO サポートセンターを、運用ガイダンスはヘルプセンターを確認してください。

FACEIOは、ブラウザーからカメラを利用できるWebアプリケーションに追加できます。以下はパスワードレス顔認証の一般的な導入例です。

• SaaSプラットフォーム

  共有アカウントの不正利用やアカウント乗っ取りのリスクを減らし、パスワードリセットに関するサポート負担を軽減します。SaaS 導入ガイドを参照してください。

• 顧客ログインとポータル

  再訪問ユーザーはパスワードやOTPコードを取得せずに認証できるため、ログインフローの手順を減らせます。

• 管理ダッシュボードと社内ツール

  保護されたシステム入口で顔認証を使用し、重要な操作ではステップアップ認証を追加できます。

• フィンテックと規制対象プラットフォーム

  顧客が管理するログインとステップアップのフローに顔認証を追加し、バックエンド検証とアプリケーション管理の監査記録を使用します。コンプライアンス要件への対応は組織の責任です。フィンテック向け顔認証のユースケースを確認してください。

展開計画では、次のページでプランを比較し、 料金ページ、次のページで導入方式を確認し、 オンプレミスページ、 サポート で実装に関するガイダンスを確認してください。