Кратко

  • WebFinger превратил привычное имя учётной записи в запрос. По RFC 7033 2013 года программа обращается к /.well-known/webfinger на домене после @ и получает ссылки в JSON. Имя ходит между приложениями, а адресную книгу ведёт домен.
  • RFC 7565 позже определил acct: как идентификатор учётной записи независимо от протокола общения с ней. Доклад сообщества W3C 2024 года описал тот же поиск для акторов ActivityPub. Удобный для передачи адрес работает благодаря ответу названного хоста.

Имя легко произнести, страницу трудно угадать

Сказать «Кэрол на example.com» человеку просто. Программе ещё нужно найти поставщика входа или документ профиля. Один сайт использует /carol, другой /users/carol, третий — длинный непрозрачный идентификатор. Если заставить каждое приложение угадывать пути всех сервисов, общего способа поиска не получится.

RFC 7033, опубликованный в сентябре 2013 года, поместил справочное окно на домен учётной записи. Клиент посылает GET к /.well-known/webfinger на example.com, передавая закодированный идентификатор acct: Кэрол на example.com в параметре resource. Сервер отвечает JSON Resource Descriptor: субъектом, возможными псевдонимами, свойствами и ссылками с типами отношений. Параметр rel ограничивает запрос нужным отношением. В примере RFC так находится издатель OpenID Connect для Кэрол. Адрес сервиса сообщает домен, а не форма имени.

В этом ответе скрыта точка власти. Оператор домена способен поменять ссылку, оставив знакомое имя прежним. Если окно не отвечает, у удалённого клиента нет WebFinger-ответа для этого имени. Стандарт унифицировал вопрос, но не построил общий каталог, который мог бы отвечать вместо доменов.

Идентификатор счёта не был веб-страницей

RFC 7565 от мая 2015 года определил схему acct: как обозначение учётной записи у поставщика услуги, не привязывая его к конкретному протоколу взаимодействия. идентификатор acct: Кэрол на example.com нельзя просто открыть в браузере как HTTP-страницу Кэрол. WebFinger превращает эту запись в вопрос указанному хосту, а тот возвращает настоящие веб-ссылки.

Одно приложение ищет поставщика идентификации, другое — страницу автора или профиль. Начальная точка у них одна: домен после @. Общая запись имени сама по себе не передаёт владельцу аккаунта управление доменом. Живую таблицу соответствий держит оператор хоста.

В итоговом докладе сообщества Social Web при W3C за 2024 год изложено применение к ActivityPub. Из user@domain составляют acct:-идентификатор, спрашивают WebFinger на этом домене и получают ссылку на HTTPS-документ актора. Путь документа может отличаться от сервиса к сервису. Доклад описывает и обратную проверку от документа к имени. Это документ сообщества о более поздней практике, а не Рекомендация W3C.

Открытый справочник отвечает и тому, кто собирает адреса. RFC 7033 отмечал, что запрос может подтвердить существование учётной записи и связать с ней дополнительные сведения. Это полезно сборщикам баз и авторам фишинговых писем. RFC обсуждал контроль доступа и ограничение частоты. У конкретного сервера следует смотреть, какие псевдонимы и свойства он выдаёт и кому.

WebFinger избавил приложения от знания внутреннего устройства каждого сайта. Первый же шаг показывал, за кем решение: пойти к домену в имени и спросить следующую ссылку. Имя путешествовало далеко. Адресная книга оставалась у хоста.