Une vérification réussie signifie-t-elle que j’ai déjà un passkey ?

Non. Le navigateur peut signaler les API et si un authenticator semble disponible. Il ne peut pas lister les passkeys créés sur d’autres sites, et une vérification réussie ne garantit pas que la prochaine cérémonie réussira.

Cela a-t-il créé un compte ?

Non. La credential de démonstration est stockée par votre authenticator pour ce nom de site. passwords.lu ne reçoit pas la clé privée et n’a aucun compte utilisateur associé.

Pourquoi mon appareil a-t-il demandé Face ID, Touch ID ou un code PIN ?

Un passkey utilise la vérification d’utilisateur pour que l’authenticator confirme qu’une personne est présente. Cette invite vient de l’appareil, pas d’une connexion passwords.lu.

Pourquoi la création peut-elle échouer alors que les vérifications semblent bonnes ?

Vous pouvez fermer l’invite, l’appareil peut ne pas avoir de verrouillage d’écran, ou une clé de sécurité peut ne pas prendre en charge les credentials découvrables. Une webview intégrée peut aussi bloquer WebAuthn. La disponibilité n’est pas une garantie.

En quoi est-ce différent du générateur TOTP ?

Le TOTP prouve que vous pouvez produire un code de courte durée à partir d’un secret partagé. Un passkey prouve que l’authenticator détient une clé privée pour ce site exact. Les outils ne partagent aucun secret.

Votre appareil est-il prêt pour les passkeys ?

Voyez ce que ce navigateur peut faire avec WebAuthn, puis créez éventuellement un passkey de démonstration et connectez-vous avec. Cela ne crée pas de compte.

Les vérifications restent sur cette page. Un passkey de démonstration est stocké par votre appareil ou gestionnaire de mots de passe. La clé privée ne quitte jamais cet authenticator. Cette page conserve la clé publique uniquement dans cette session de navigateur, pour vérifier la signature ici.

Vérifications du navigateur

WebAuthn est disponible, aucun authenticator de plateforme signalé

Vous pouvez quand même essayer une clé de sécurité ci-dessous. Une vérification de plateforme manquante ne prouve pas que chaque opération passkey échouera.

Contexte sécurisé
Disponible
Cette page est en HTTPS ou localhost, ce que WebAuthn exige.
API WebAuthn
Disponible
PublicKeyCredential est présent, ce navigateur peut donc démarrer une cérémonie.
Authenticator de plateforme avec vérification d’utilisateur
Non disponible
Aucun authenticator de plateforme avec vérification d’utilisateur n’a été signalé. Une clé de sécurité ou un téléphone peut encore fonctionner.Disponible signifie que le navigateur voit un authenticator capable. Cela ne signifie pas qu’un passkey est déjà enregistré.
Remplissage automatique de passkey
Disponible
Ce navigateur peut proposer un passkey depuis un formulaire de connexion.Cette page n’ouvre pas cette invite, pour que la démo ne se mélange pas à un autre passkey pour ce site.
Approbation par téléphone via QR code
Non disponible
Le transport hybride a été signalé comme indisponible.

Capacités client détaillées

userVerifyingPlatformAuthenticator
Cet appareil peut confirmer que c’est vous avec la biométrie ou un code PIN de l’appareil.
Non pris en charge
passkeyPlatformAuthenticator
Un fournisseur de passkey intégré est disponible.
Non pris en charge
conditionalGet
Les champs de connexion peuvent proposer un passkey enregistré.
Pris en charge
conditionalCreate
Le navigateur peut proposer de créer un passkey après une connexion par mot de passe.
Pris en charge
hybridTransport
Un téléphone peut approuver la connexion sur cet ordinateur avec un QR code.
Non pris en charge
relatedOrigins
Related Origin Requests, pour que des domaines associés puissent partager un passkey.
Pris en charge
signalAllAcceptedCredentials
Un site peut indiquer à l’appareil quels passkeys sont encore acceptés.
Pris en charge
signalCurrentUserDetails
Un site peut mettre à jour le nom affiché pour un passkey.
Pris en charge
signalUnknownCredential
Un site peut demander à l’appareil de masquer un passkey qu’il n’accepte plus.
Pris en charge
extension:credProps
L’enregistrement peut indiquer si la nouvelle credential est découvrable.
Pris en charge
extension:prf
L’authenticator peut dériver une clé pour le chiffrement, via l’extension PRF.
Pris en charge
extension:largeBlob
L’authenticator peut stocker un blob plus volumineux avec la credential.
Pris en charge
extension:appid
Pris en charge
extension:appidExclude
Pris en charge
extension:credBlob
Pris en charge
extension:credentialProtectionPolicy
Pris en charge
extension:enforceCredentialProtectionPolicy
Pris en charge
extension:getCredBlob
Pris en charge
extension:hmacCreateSecret
Pris en charge
extension:minPinLength
Pris en charge
extension:payment
Non pris en charge

Essayer un passkey de démonstration

Cela crée une credential découvrable avec vérification d’utilisateur, de la même forme qu’un passkey sur un vrai site. Elle n’est liée à aucun compte.

Votre appareil ou gestionnaire de mots de passe enregistrera un vrai passkey pour ce site, avec le nom de compte passkey-demo@passwords.lu. Supprimez-le ensuite depuis ce gestionnaire, iCloud Keychain, Google Password Manager ou Windows Hello. L’oublier ici retire seulement la clé publique de cette session de navigateur.

Le challenge est créé sur cette page, et la signature est vérifiée ici avec la clé publique de l’enregistrement. Un site de production doit créer le challenge sur un serveur et y vérifier la signature. Cette cérémonie n’est pas envoyée à un serveur.

Cet hôte n’est pas passwords.lu. Le passkey de démonstration est enregistré uniquement pour l’hôte actuel.

Identifiant de relying party: localhost
Nom du compte: passkey-demo@passwords.lu
Où le trouver: Cherchez passkey-demo@passwords.lu dans votre gestionnaire de mots de passe.

Passkeys, mots de passe et TOTP

Un passkey remplace le mot de passe par une clé liée au vrai site. Le TOTP ajoute un code court issu d’un secret partagé ; un site de hameçonnage peut encore relayer ce code.

Passkeys, mots de passe et TOTP
Sujet	Passkey	Mot de passe	TOTP
Ce que vous conservez	Une clé privée sur l’appareil ou dans son gestionnaire de mots de passe. Vous confirmez avec la biométrie ou un code PIN de l’appareil.	Un secret que vous mémorisez ou stockez.	Un secret partagé dans une app d’authentification, généralement à côté d’un mot de passe.
Hameçonnage	La signature est liée au vrai site. Un domaine ressemblant ne peut pas l’utiliser.	Le secret peut être saisi sur une fausse page.	Un site de hameçonnage en temps réel peut relayer le code actuel.
Fuite serveur	Le serveur stocke une clé publique.	Le serveur stocke un hash qui peut être attaqué hors ligne.	Le serveur stocke le secret partagé. Une copie peut générer des codes valides.
Téléphone perdu	Dépend de la synchronisation, d’un autre appareil ou d’une méthode de récupération proposée par le site.	Il fonctionne partout si vous le connaissez.	Nécessite l’app d’authentification, une sauvegarde ou les codes de récupération du site.
Sur ce site	Prise en charge du navigateur, plus une création et une connexion en direct sur cette page.	Outils de force et de fuite ailleurs sur passwords.lu.	Générer et vérifier des codes dans l’outil TOTP.

Ouvrir le générateur TOTP Ce que sont les passkeys Ce qu’est le TOTP Pourquoi les passkeys résistent au hameçonnage en temps réel

Développeurs

Ce qu’une relying party doit encore faire

La détection de capacités n’est pas un test d’intégration. Un site de production émet un challenge frais depuis le serveur, vérifie la signature avec la clé publique stockée, et contrôle l’origine et l’identifiant de relying party. Cette page effectue ces vérifications localement pour que vous puissiez voir une cérémonie sans compte. La connexion ne demande que cette credential de démonstration, ainsi l’invite n’est pas une connexion avec un autre passkey pour ce site.

Vérifications du navigateur

Contexte sécurisé

API WebAuthn

Authenticator de plateforme avec vérification d’utilisateur

Remplissage automatique de passkey

Approbation par téléphone via QR code