Betekent een geslaagde controle dat ik al een passkey heb?

Nee. De browser kan API’s melden en of een authenticator beschikbaar lijkt. Hij kan geen passkeys opsommen die je op andere sites hebt gemaakt, en een geslaagde controle betekent niet dat de volgende ceremonie zal slagen.

Is hier een account aangemaakt?

Nee. De demonstratiecredential wordt door je authenticator opgeslagen voor deze sitenaam. passwords.lu ontvangt de privésleutel niet en heeft er geen gebruikersaccount aan gekoppeld.

Waarom vroeg mijn apparaat om Face ID, Touch ID of een PIN?

Een passkey gebruikt gebruikersverificatie zodat de authenticator bevestigt dat er iemand aanwezig is. Die prompt komt van het apparaat, niet van een passwords.lu-login.

Waarom kan aanmaken mislukken terwijl de controles goed lijken?

Je kunt de prompt sluiten, het apparaat heeft mogelijk geen schermvergrendeling, of een beveiligingssleutel ondersteunt geen discoverable credentials. Een ingesloten webview kan WebAuthn ook blokkeren. Beschikbaarheid is geen garantie.

Hoe verschilt dit van de TOTP-generator?

TOTP bewijst dat je een kortlevende code uit een gedeeld geheim kunt maken. Een passkey bewijst dat de authenticator een privésleutel voor precies deze site heeft. De tools delen geen geheimen.

Is je apparaat klaar voor passkeys?

Bekijk wat deze browser met WebAuthn kan, en maak optioneel een demonstratiepasskey om je ermee aan te melden. Dit maakt geen account aan.

De controles blijven op deze pagina. Een demonstratiepasskey wordt opgeslagen door je apparaat of wachtwoordbeheerder. De privésleutel verlaat die authenticator nooit. Deze pagina bewaart de openbare sleutel alleen in deze browsersessie, zodat de handtekening hier kan worden gecontroleerd.

Browsercontroles

WebAuthn is beschikbaar, zonder gemelde platformauthenticator

Je kunt hieronder nog steeds een beveiligingssleutel proberen. Een ontbrekende platformcontrole bewijst niet dat elke passkey-bewerking zal mislukken.

Beveiligde context
Beschikbaar
Deze pagina is HTTPS of localhost, wat WebAuthn vereist.
WebAuthn-API
Beschikbaar
PublicKeyCredential is aanwezig, dus deze browser kan een ceremonie starten.
Platformauthenticator met gebruikersverificatie
Niet beschikbaar
Er is geen platformauthenticator met gebruikersverificatie gemeld. Een beveiligingssleutel of telefoon kan nog steeds werken.Beschikbaar betekent dat de browser een geschikte authenticator ziet. Het betekent niet dat er al een passkey is opgeslagen.
Automatisch invullen van passkeys
Beschikbaar
Deze browser kan een passkey aanbieden vanuit een aanmeldformulier.Deze pagina opent die prompt niet, zodat de demo niet vermengd raakt met een andere passkey voor deze site.
Goedkeuring via telefoon met QR-code
Niet beschikbaar
Hybride transport is als niet beschikbaar gemeld.

Gedetailleerde clientmogelijkheden

userVerifyingPlatformAuthenticator
Dit apparaat kan bevestigen dat jij het bent met biometrie of een apparaat-PIN.
Niet ondersteund
passkeyPlatformAuthenticator
Er is een ingebouwde passkey-provider beschikbaar.
Niet ondersteund
conditionalGet
Aanmeldvelden kunnen een opgeslagen passkey aanbieden.
Ondersteund
conditionalCreate
De browser kan aanbieden om een passkey te maken na een wachtwoordaanmelding.
Ondersteund
hybridTransport
Een telefoon kan aanmelden op deze computer goedkeuren met een QR-code.
Niet ondersteund
relatedOrigins
Related Origin Requests, zodat gekoppelde domeinen een passkey kunnen delen.
Ondersteund
signalAllAcceptedCredentials
Een site kan het apparaat vertellen welke passkeys nog worden geaccepteerd.
Ondersteund
signalCurrentUserDetails
Een site kan de getoonde naam voor een passkey bijwerken.
Ondersteund
signalUnknownCredential
Een site kan het apparaat vragen een passkey te verbergen die het niet meer accepteert.
Ondersteund
extension:credProps
Registratie kan melden of de nieuwe credential discoverable is.
Ondersteund
extension:prf
De authenticator kan via de PRF-extensie een sleutel voor versleuteling afleiden.
Ondersteund
extension:largeBlob
De authenticator kan een grotere blob naast de credential opslaan.
Ondersteund
extension:appid
Ondersteund
extension:appidExclude
Ondersteund
extension:credBlob
Ondersteund
extension:credentialProtectionPolicy
Ondersteund
extension:enforceCredentialProtectionPolicy
Ondersteund
extension:getCredBlob
Ondersteund
extension:hmacCreateSecret
Ondersteund
extension:minPinLength
Ondersteund
extension:payment
Niet ondersteund

Probeer een demonstratiepasskey

Dit maakt een discoverable credential met gebruikersverificatie, dezelfde vorm als een passkey op een echte site. Het is niet gekoppeld aan een account.

Je apparaat of wachtwoordbeheerder slaat een echte passkey op voor deze site, met de accountnaam passkey-demo@passwords.lu. Verwijder die later uit die wachtwoordbeheerder, iCloud Keychain, Google Password Manager of Windows Hello. Hier vergeten verwijdert alleen de openbare sleutel uit deze browsersessie.

De challenge wordt op deze pagina gemaakt en de handtekening wordt hier gecontroleerd met de openbare sleutel van de registratie. Een productiesite moet de challenge op een server maken en de handtekening daar verifiëren. Deze ceremonie wordt niet naar een server gestuurd.

Deze host is niet passwords.lu. De demonstratiepasskey wordt alleen voor de huidige host opgeslagen.

Relying party-id: localhost
Accountnaam: passkey-demo@passwords.lu
Waar te vinden: Zoek in je wachtwoordbeheerder naar passkey-demo@passwords.lu.

Passkeys, wachtwoorden en TOTP

Een passkey vervangt het wachtwoord door een sleutel die aan de echte site is gebonden. TOTP voegt een korte code toe uit een gedeeld geheim, en een phishing-site kan die code nog steeds doorgeven.

Passkeys, wachtwoorden en TOTP
Onderwerp	Passkey	Wachtwoord	TOTP
Wat je bewaart	Een privésleutel op het apparaat of in de wachtwoordbeheerder. Je bevestigt met biometrie of een apparaat-PIN.	Een geheim dat je onthoudt of opslaat.	Een gedeeld geheim in een authenticator-app, meestal naast een wachtwoord.
Phishing	De handtekening is gebonden aan de echte site. Een gelijkend domein kan die niet gebruiken.	Het geheim kan in een nep pagina worden getypt.	Een realtime phishing-site kan de huidige code doorgeven.
Serverlek	De server bewaart een openbare sleutel.	De server bewaart een hash die offline kan worden aangevallen.	De server bewaart het gedeelde geheim. Een kopie kan geldige codes maken.
Telefoon kwijt	Hangt af van synchronisatie, een ander apparaat of een herstelmethode die de site biedt.	Het werkt nog overal als je het kent.	Heeft de authenticator-app, een back-up of de herstelcodes van de site nodig.
Op deze site	Browserondersteuning, plus live aanmaken en aanmelden op deze pagina.	Sterkte- en lektools elders op passwords.lu.	Genereer en controleer codes in de TOTP-tool.

Open de TOTP-generator Wat passkeys zijn Wat TOTP is Waarom passkeys realtime phishing weerstaan

Ontwikkelaars

Wat een relying party nog moet doen

Capability-detectie is geen integratietest. Een productiesite geeft een verse challenge vanaf de server, verifieert de handtekening met de opgeslagen openbare sleutel en controleert de origin en relying party-id. Deze pagina doet die controles lokaal zodat je een ceremonie kunt zien zonder account. Aanmelden vraagt alleen om deze demonstratiecredential, zodat de prompt geen aanmelding is met een andere passkey voor deze site.

Browsercontroles

Beveiligde context

WebAuthn-API

Platformauthenticator met gebruikersverificatie

Automatisch invullen van passkeys

Goedkeuring via telefoon met QR-code