Bedeutet eine erfolgreiche Prüfung, dass ich bereits einen Passkey habe?

Nein. Der Browser kann APIs und melden, ob ein Authenticator verfügbar erscheint. Er kann keine Passkeys auflisten, die Sie auf anderen Sites erstellt haben, und eine bestandene Prüfung bedeutet nicht, dass die nächste Zeremonie gelingt.

Wurde dadurch ein Konto angelegt?

Nein. Die Demonstrations-Credential wird von Ihrem Authenticator für diesen Site-Namen gespeichert. passwords.lu erhält den privaten Schlüssel nicht und hat kein Benutzerkonto dafür.

Warum hat mein Gerät nach Face ID, Touch ID oder einer PIN gefragt?

Ein Passkey nutzt Benutzerverifizierung, damit der Authenticator bestätigt, dass eine Person anwesend ist. Diese Abfrage kommt vom Gerät, nicht von einer Anmeldung bei passwords.lu.

Warum kann die Erstellung scheitern, obwohl die Prüfungen gut aussehen?

Sie können die Abfrage abbrechen, das Gerät kann keine Bildschirmsperre haben, oder ein Sicherheitsschlüssel unterstützt keine discoverable Credentials. Eine eingebettete Webview kann WebAuthn ebenfalls blockieren. Verfügbarkeit ist keine Garantie.

Worin unterscheidet sich das vom TOTP-Generator?

TOTP beweist, dass Sie einen kurzlebigen Code aus einem gemeinsamen Geheimnis erzeugen können. Ein Passkey beweist, dass der Authenticator einen privaten Schlüssel für genau diese Site hält. Die Tools teilen keine Geheimnisse.

Ist Ihr Gerät bereit für Passkeys?

Sehen Sie, was dieser Browser mit WebAuthn kann, und erstellen Sie optional einen Demonstrations-Passkey und melden Sie sich damit an. Dabei wird kein Konto angelegt.

Die Prüfungen bleiben auf dieser Seite. Ein Demonstrations-Passkey wird von Ihrem Gerät oder Passwortmanager gespeichert. Der private Schlüssel verlässt diesen Authenticator nicht. Diese Seite behält den öffentlichen Schlüssel nur in dieser Browser-Sitzung, um die Signatur hier zu prüfen.

Browser-Prüfungen

WebAuthn ist verfügbar, kein Plattform-Authenticator gemeldet

Sie können unten trotzdem einen Sicherheitsschlüssel ausprobieren. Eine fehlende Plattform-Prüfung beweist nicht, dass jede Passkey-Operation scheitert.

Sicherer Kontext
Verfügbar
Diese Seite ist HTTPS oder localhost, was WebAuthn voraussetzt.
WebAuthn-API
Verfügbar
PublicKeyCredential ist vorhanden, dieser Browser kann also eine Zeremonie starten.
Benutzerverifizierender Plattform-Authenticator
Nicht verfügbar
Es wurde kein benutzerverifizierender Plattform-Authenticator gemeldet. Ein Sicherheitsschlüssel oder Telefon kann trotzdem funktionieren.Verfügbar bedeutet, dass der Browser einen fähigen Authenticator sieht. Es bedeutet nicht, dass bereits ein Passkey gespeichert ist.
Passkey-Autofill
Verfügbar
Dieser Browser kann in einem Anmeldeformular einen Passkey anbieten.Diese Seite öffnet diese Abfrage nicht, damit die Demo nicht mit einem anderen Passkey für diese Site vermischt wird.
Telefon-Freigabe per QR-Code
Nicht verfügbar
Hybrid-Transport wurde als nicht verfügbar gemeldet.

Detaillierte Client-Capabilities

userVerifyingPlatformAuthenticator
Dieses Gerät kann mit Biometrie oder einer Geräte-PIN bestätigen, dass Sie es sind.
Nicht unterstützt
passkeyPlatformAuthenticator
Ein integrierter Passkey-Anbieter ist verfügbar.
Nicht unterstützt
conditionalGet
Anmeldefelder können einen gespeicherten Passkey anbieten.
Unterstützt
conditionalCreate
Der Browser kann nach einer Passwort-Anmeldung anbieten, einen Passkey zu erstellen.
Unterstützt
hybridTransport
Ein Telefon kann die Anmeldung auf diesem Computer per QR-Code freigeben.
Nicht unterstützt
relatedOrigins
Related Origin Requests, damit verknüpfte Domains einen Passkey teilen können.
Unterstützt
signalAllAcceptedCredentials
Eine Site kann dem Gerät mitteilen, welche Passkeys noch akzeptiert werden.
Unterstützt
signalCurrentUserDetails
Eine Site kann den für einen Passkey angezeigten Namen aktualisieren.
Unterstützt
signalUnknownCredential
Eine Site kann das Gerät bitten, einen Passkey auszublenden, den sie nicht mehr akzeptiert.
Unterstützt
extension:credProps
Die Registrierung kann melden, ob die neue Credential discoverable ist.
Unterstützt
extension:prf
Der Authenticator kann über die PRF-Erweiterung einen Schlüssel für die Verschlüsselung ableiten.
Unterstützt
extension:largeBlob
Der Authenticator kann neben der Credential einen größeren Blob speichern.
Unterstützt
extension:appid
Unterstützt
extension:appidExclude
Unterstützt
extension:credBlob
Unterstützt
extension:credentialProtectionPolicy
Unterstützt
extension:enforceCredentialProtectionPolicy
Unterstützt
extension:getCredBlob
Unterstützt
extension:hmacCreateSecret
Unterstützt
extension:minPinLength
Unterstützt
extension:payment
Nicht unterstützt

Demonstrations-Passkey ausprobieren

Damit entsteht eine discoverable Credential mit Benutzerverifizierung, in derselben Form wie ein Passkey auf einer echten Site. Sie ist mit keinem Konto verknüpft.

Ihr Gerät oder Passwortmanager speichert einen echten Passkey für diese Site mit dem Kontonamen passkey-demo@passwords.lu. Löschen Sie ihn später in diesem Passwortmanager, in iCloud Keychain, Google Password Manager oder Windows Hello. Hier vergessen entfernt nur den öffentlichen Schlüssel aus dieser Browser-Sitzung.

Die Challenge wird auf dieser Seite erzeugt, und die Signatur wird hier mit dem öffentlichen Schlüssel aus der Registrierung geprüft. Eine Produktions-Site sollte die Challenge auf einem Server erzeugen und die Signatur dort prüfen. Diese Zeremonie wird nicht an einen Server gesendet.

Dieser Host ist nicht passwords.lu. Der Demonstrations-Passkey wird nur für den aktuellen Host gespeichert.

Relying-Party-ID: localhost
Kontoname: passkey-demo@passwords.lu
Wo Sie ihn finden: Suchen Sie in Ihrem Passwortmanager nach passkey-demo@passwords.lu.

Passkeys, Passwörter und TOTP

Ein Passkey ersetzt das Passwort durch einen Schlüssel, der an die echte Site gebunden ist. TOTP fügt einen kurzen Code aus einem gemeinsamen Geheimnis hinzu; eine Phishing-Site kann diesen Code trotzdem weiterleiten.

Passkeys, Passwörter und TOTP
Thema	Passkey	Passwort	TOTP
Was Sie behalten	Einen privaten Schlüssel auf dem Gerät oder in dessen Passwortmanager. Sie bestätigen mit Biometrie oder einer Geräte-PIN.	Ein Geheimnis, das Sie sich merken oder speichern.	Ein gemeinsames Geheimnis in einer Authenticator-App, meist neben einem Passwort.
Phishing	Die Signatur ist an die echte Site gebunden. Eine Lookalike-Domain kann sie nicht nutzen.	Das Geheimnis kann auf einer gefälschten Seite eingegeben werden.	Eine Echtzeit-Phishing-Site kann den aktuellen Code weiterleiten.
Server-Breach	Der Server speichert einen öffentlichen Schlüssel.	Der Server speichert einen Hash, der offline angegriffen werden kann.	Der Server speichert das gemeinsame Geheimnis. Eine Kopie kann gültige Codes erzeugen.
Verlorenes Telefon	Hängt von Sync, einem anderen Gerät oder einer Wiederherstellungsmethode der Site ab.	Es funktioniert überall weiter, wenn Sie es kennen.	Braucht die Authenticator-App, ein Backup oder die Wiederherstellungscodes der Site.
Auf dieser Site	Browser-Unterstützung plus Erstellen und Anmelden live auf dieser Seite.	Stärke- und Breach-Tools an anderer Stelle auf passwords.lu.	Codes im TOTP-Tool erzeugen und prüfen.

TOTP-Generator öffnen Was Passkeys sind Was TOTP ist Warum Passkeys Echtzeit-Phishing standhalten

Entwickler

Was eine Relying Party trotzdem tun muss

Capability-Erkennung ist kein Integrationstest. Eine Produktions-Site stellt eine frische Challenge vom Server aus, prüft die Signatur mit dem gespeicherten öffentlichen Schlüssel und kontrolliert Origin und Relying-Party-ID. Diese Seite macht diese Prüfungen lokal, damit Sie eine Zeremonie ohne Konto sehen können. Die Anmeldung fragt nur nach dieser Demonstrations-Credential, sodass die Abfrage keine Anmeldung mit einem anderen Passkey für diese Site ist.

Browser-Prüfungen

Sicherer Kontext

WebAuthn-API

Benutzerverifizierender Plattform-Authenticator

Passkey-Autofill

Telefon-Freigabe per QR-Code