Un controllo riuscito significa che ho già una passkey?

No. Il browser può segnalare le API e se un autenticatore sembra disponibile. Non può elencare le passkey create su altri siti, e un controllo positivo non significa che la prossima cerimonia avrà successo.

È stato creato un account?

No. La credenziale dimostrativa è memorizzata dal tuo autenticatore per questo nome di sito. passwords.lu non riceve la chiave privata e non ha alcun account utente collegato.

Perché il mio dispositivo ha chiesto Face ID, Touch ID o un PIN?

Una passkey usa la verifica utente così l’autenticatore conferma che una persona è presente. Quella richiesta arriva dal dispositivo, non da un login di passwords.lu.

Perché la creazione può fallire dopo controlli che sembrano a posto?

Potresti chiudere la richiesta, il dispositivo potrebbe non avere un blocco schermo, oppure una chiave di sicurezza potrebbe non supportare le credenziali discoverable. Anche una webview incorporata può bloccare WebAuthn. La disponibilità non è una garanzia.

In cosa differisce dal generatore TOTP?

Il TOTP dimostra che puoi produrre un codice di breve durata da un segreto condiviso. Una passkey dimostra che l’autenticatore detiene una chiave privata per questo sito esatto. Gli strumenti non condividono segreti.

Il tuo dispositivo è pronto per le passkey?

Scopri cosa può fare questo browser con WebAuthn, poi eventualmente crea una passkey dimostrativa e accedi con essa. Questo non crea un account.

I controlli restano in questa pagina. Una passkey dimostrativa è salvata dal tuo dispositivo o gestore di password. La chiave privata non lascia mai quell’autenticatore. Questa pagina tiene la chiave pubblica solo in questa sessione del browser, così può verificare la firma qui.

Controlli del browser

WebAuthn è disponibile, senza autenticatore di piattaforma segnalato

Puoi comunque provare una chiave di sicurezza qui sotto. Un controllo di piattaforma mancante non dimostra che ogni operazione con passkey fallirà.

Contesto sicuro
Disponibile
Questa pagina è HTTPS o localhost, come richiede WebAuthn.
API WebAuthn
Disponibile
PublicKeyCredential è presente, quindi questo browser può avviare una cerimonia.
Autenticatore di piattaforma con verifica utente
Non disponibile
Nessun autenticatore di piattaforma con verifica utente è stato segnalato. Una chiave di sicurezza o un telefono potrebbero comunque funzionare.Disponibile significa che il browser vede un autenticatore capace. Non significa che una passkey sia già salvata.
Compilazione automatica passkey
Disponibile
Questo browser può offrire una passkey da un modulo di accesso.Questa pagina non apre quella richiesta, così la demo non si mescola con un’altra passkey per questo sito.
Approvazione dal telefono con codice QR
Non disponibile
Il trasporto ibrido è stato segnalato come non disponibile.

Capacità dettagliate del client

userVerifyingPlatformAuthenticator
Questo dispositivo può confermare che sei tu con biometria o un PIN del dispositivo.
Non supportato
passkeyPlatformAuthenticator
È disponibile un provider di passkey integrato.
Non supportato
conditionalGet
I campi di accesso possono offrire una passkey salvata.
Supportato
conditionalCreate
Il browser può offrire di creare una passkey dopo un accesso con password.
Supportato
hybridTransport
Un telefono può approvare l’accesso su questo computer con un codice QR.
Non supportato
relatedOrigins
Related Origin Requests, così i domini associati possono condividere una passkey.
Supportato
signalAllAcceptedCredentials
Un sito può indicare al dispositivo quali passkey sono ancora accettate.
Supportato
signalCurrentUserDetails
Un sito può aggiornare il nome mostrato per una passkey.
Supportato
signalUnknownCredential
Un sito può chiedere al dispositivo di nascondere una passkey che non accetta più.
Supportato
extension:credProps
La registrazione può indicare se la nuova credenziale è discoverable.
Supportato
extension:prf
L’autenticatore può derivare una chiave per la cifratura, tramite l’estensione PRF.
Supportato
extension:largeBlob
L’autenticatore può memorizzare un blob più grande insieme alla credenziale.
Supportato
extension:appid
Supportato
extension:appidExclude
Supportato
extension:credBlob
Supportato
extension:credentialProtectionPolicy
Supportato
extension:enforceCredentialProtectionPolicy
Supportato
extension:getCredBlob
Supportato
extension:hmacCreateSecret
Supportato
extension:minPinLength
Supportato
extension:payment
Non supportato

Prova una passkey dimostrativa

Questo crea una credenziale discoverable con verifica utente, la stessa forma di una passkey su un sito reale. Non è collegata a un account.

Il tuo dispositivo o gestore di password salverà una passkey reale per questo sito, con il nome account passkey-demo@passwords.lu. Eliminala poi da quel gestore di password, iCloud Keychain, Google Password Manager o Windows Hello. Dimenticarla qui rimuove solo la chiave pubblica da questa sessione del browser.

La challenge viene creata in questa pagina e la firma viene verificata qui con la chiave pubblica della registrazione. Un sito di produzione dovrebbe creare la challenge su un server e verificare la firma lì. Questa cerimonia non viene inviata a un server.

Questo host non è passwords.lu. La passkey dimostrativa è salvata solo per l’host corrente.

ID della relying party: localhost
Nome account: passkey-demo@passwords.lu
Dove trovarla: Cerca nel tuo gestore di password passkey-demo@passwords.lu.

Passkey, password e TOTP

Una passkey sostituisce la password con una chiave legata al sito reale. Il TOTP aggiunge un codice breve da un segreto condiviso, e un sito di phishing può comunque ritrasmettere quel codice.

Passkey, password e TOTP
Argomento	Passkey	Password	TOTP
Cosa conservi	Una chiave privata sul dispositivo o nel suo gestore di password. Confermi con biometria o un PIN del dispositivo.	Un segreto che ricordi o memorizzi.	Un segreto condiviso in un’app autenticatore, di solito insieme a una password.
Phishing	La firma è legata al sito reale. Un dominio simile non può usarla.	Il segreto può essere digitato in una pagina falsa.	Un sito di phishing in tempo reale può ritrasmettere il codice attuale.
Violazione del server	Il server memorizza una chiave pubblica.	Il server memorizza un hash che può essere attaccato offline.	Il server memorizza il segreto condiviso. Una copia può generare codici validi.
Telefono perso	Dipende dalla sincronizzazione, da un altro dispositivo o da un metodo di recupero offerto dal sito.	Funziona ancora ovunque se la conosci.	Serve l’app autenticatore, un backup o i codici di recupero del sito.
Su questo sito	Supporto del browser, più creazione e accesso dal vivo in questa pagina.	Strumenti di forza e di violazione altrove su passwords.lu.	Genera e controlla i codici nello strumento TOTP.

Apri il generatore TOTP Cosa sono le passkey Cos’è il TOTP Perché le passkey resistono al phishing in tempo reale

Sviluppatori

Cosa deve ancora fare una relying party

Il rilevamento delle capacità non è un test di integrazione. Un sito di produzione emette una challenge fresca dal server, verifica la firma con la chiave pubblica memorizzata e controlla l’origine e l’id della relying party. Questa pagina esegue quei controlli in locale così puoi vedere una cerimonia senza un account. L’accesso chiede solo questa credenziale dimostrativa, quindi la richiesta non è un accesso con qualsiasi altra passkey per questo sito.

Controlli del browser

Contesto sicuro

API WebAuthn

Autenticatore di piattaforma con verifica utente

Compilazione automatica passkey

Approvazione dal telefono con codice QR