Uma verificação com sucesso significa que já tenho uma passkey?

Não. O browser pode indicar APIs e se um autenticador parece disponível. Não consegue listar passkeys que criou noutros sites, e uma verificação positiva não significa que a próxima cerimónia vá ter sucesso.

Isto criou uma conta?

Não. A credencial de demonstração é guardada pelo seu autenticador para este nome de site. O passwords.lu não recebe a chave privada e não tem nenhuma conta de utilizador associada.

Porque é que o meu dispositivo pediu Face ID, Touch ID ou um PIN?

Uma passkey usa verificação do utilizador para o autenticador confirmar que há uma pessoa presente. Esse pedido vem do dispositivo, não de um login do passwords.lu.

Porque pode a criação falhar depois de as verificações parecerem bem?

Pode dispensar o pedido, o dispositivo pode não ter bloqueio de ecrã, ou uma chave de segurança pode não suportar credenciais discoverable. Uma webview embutida também pode bloquear o WebAuthn. Disponibilidade não é garantia.

Em que isto difere do gerador TOTP?

O TOTP prova que consegue produzir um código de curta duração a partir de um segredo partilhado. Uma passkey prova que o autenticador detém uma chave privada para este site exato. As ferramentas não partilham segredos.

O seu dispositivo está pronto para passkeys?

Veja o que este browser consegue fazer com WebAuthn e, opcionalmente, crie uma passkey de demonstração e inicie sessão com ela. Isto não cria uma conta.

As verificações ficam nesta página. Uma passkey de demonstração é guardada pelo seu dispositivo ou gestor de palavras-passe. A chave privada nunca sai desse autenticador. Esta página mantém a chave pública apenas nesta sessão do browser, para poder verificar a assinatura aqui.

Verificações do browser

WebAuthn está disponível, sem autenticador de plataforma indicado

Ainda pode tentar uma chave de segurança abaixo. Um resultado em falta na verificação de plataforma não prova que todas as operações com passkey vão falhar.

Contexto seguro
Disponível
Esta página é HTTPS ou localhost, o que o WebAuthn exige.
API WebAuthn
Disponível
PublicKeyCredential está presente, por isso este browser pode iniciar uma cerimónia.
Autenticador de plataforma com verificação do utilizador
Indisponível
Não foi indicado nenhum autenticador de plataforma com verificação do utilizador. Uma chave de segurança ou um telemóvel ainda podem funcionar.Disponível significa que o browser vê um autenticador capaz. Não significa que já exista uma passkey guardada.
Preenchimento automático de passkey
Disponível
Este browser pode oferecer uma passkey a partir de um formulário de início de sessão.Esta página não abre esse pedido, para a demonstração não se misturar com outra passkey deste site.
Aprovação no telemóvel por código QR
Indisponível
O transporte híbrido foi indicado como indisponível.

Capacidades detalhadas do cliente

userVerifyingPlatformAuthenticator
Este dispositivo pode confirmar que é você com biometria ou um PIN do dispositivo.
Não suportado
passkeyPlatformAuthenticator
Está disponível um fornecedor de passkeys integrado.
Não suportado
conditionalGet
Os campos de início de sessão podem oferecer uma passkey guardada.
Suportado
conditionalCreate
O browser pode oferecer criar uma passkey após um início de sessão com palavra-passe.
Suportado
hybridTransport
Um telemóvel pode aprovar o início de sessão neste computador com um código QR.
Não suportado
relatedOrigins
Related Origin Requests, para que domínios associados possam partilhar uma passkey.
Suportado
signalAllAcceptedCredentials
Um site pode indicar ao dispositivo quais as passkeys ainda aceites.
Suportado
signalCurrentUserDetails
Um site pode atualizar o nome mostrado para uma passkey.
Suportado
signalUnknownCredential
Um site pode pedir ao dispositivo para ocultar uma passkey que já não aceita.
Suportado
extension:credProps
O registo pode indicar se a nova credencial é discoverable.
Suportado
extension:prf
O autenticador pode derivar uma chave para encriptação, via a extensão PRF.
Suportado
extension:largeBlob
O autenticador pode armazenar um blob maior juntamente com a credencial.
Suportado
extension:appid
Suportado
extension:appidExclude
Suportado
extension:credBlob
Suportado
extension:credentialProtectionPolicy
Suportado
extension:enforceCredentialProtectionPolicy
Suportado
extension:getCredBlob
Suportado
extension:hmacCreateSecret
Suportado
extension:minPinLength
Suportado
extension:payment
Não suportado

Experimente uma passkey de demonstração

Isto cria uma credencial discoverable com verificação do utilizador, a mesma forma de uma passkey num site real. Não está ligada a uma conta.

O seu dispositivo ou gestor de palavras-passe vai guardar uma passkey real para este site, com o nome de conta passkey-demo@passwords.lu. Apague-a depois nesse gestor de palavras-passe, iCloud Keychain, Google Password Manager ou Windows Hello. Esquecê-la aqui remove apenas a chave pública desta sessão do browser.

O desafio é criado nesta página e a assinatura é verificada aqui com a chave pública do registo. Um site em produção deve criar o desafio num servidor e verificar a assinatura lá. Esta cerimónia não é enviada a um servidor.

Este host não é passwords.lu. A passkey de demonstração é guardada apenas para o host atual.

ID da relying party: localhost
Nome da conta: passkey-demo@passwords.lu
Onde a encontrar: Procure no seu gestor de palavras-passe por passkey-demo@passwords.lu.

Passkeys, palavras-passe e TOTP

Uma passkey substitui a palavra-passe por uma chave ligada ao site real. O TOTP acrescenta um código curto a partir de um segredo partilhado, e um site de phishing ainda pode retransmitir esse código.

Passkeys, palavras-passe e TOTP
Tópico	Passkey	Palavra-passe	TOTP
O que guarda	Uma chave privada no dispositivo ou no seu gestor de palavras-passe. Confirma com biometria ou um PIN do dispositivo.	Um segredo que memoriza ou guarda.	Um segredo partilhado numa app autenticadora, normalmente junto a uma palavra-passe.
Phishing	A assinatura está ligada ao site real. Um domínio semelhante não a pode usar.	O segredo pode ser escrito numa página falsa.	Um site de phishing em tempo real pode retransmitir o código atual.
Violação no servidor	O servidor guarda uma chave pública.	O servidor guarda um hash que pode ser atacado offline.	O servidor guarda o segredo partilhado. Uma cópia pode gerar códigos válidos.
Telemóvel perdido	Depende da sincronização, de outro dispositivo ou de um método de recuperação que o site ofereça.	Continua a funcionar em qualquer sítio se a souber.	Precisa da app autenticadora, de uma cópia de segurança ou dos códigos de recuperação do site.
Neste site	Suporte do browser, mais uma criação e início de sessão em direto nesta página.	Ferramentas de força e de violação noutras partes de passwords.lu.	Gere e verifique códigos na ferramenta TOTP.

Abrir o gerador TOTP O que são as passkeys O que é o TOTP Porque as passkeys resistem ao phishing em tempo real

Programadores

O que uma relying party ainda tem de fazer

A deteção de capacidades não é um teste de integração. Um site em produção emite um desafio novo a partir do servidor, verifica a assinatura com a chave pública guardada e confere a origem e o id da relying party. Esta página faz essas verificações localmente para poder ver uma cerimónia sem conta. O início de sessão pede apenas esta credencial de demonstração, por isso o pedido não é um início de sessão com qualquer outra passkey deste site.

Verificações do browser

Contexto seguro

API WebAuthn

Autenticador de plataforma com verificação do utilizador

Preenchimento automático de passkey

Aprovação no telemóvel por código QR