WebAuthn

Utiliser des clés publiques dans le navigateur

WebAuthn est une API du navigateur permettant d’enregistrer et d’utiliser des moyens d’authentification cryptographiques à clé publique. Les passkeys utilisent cette interface sur le Web. L’enregistrement passe par navigator.credentials.create() ; une connexion ultérieure par navigator.credentials.get(). L’API exige un contexte sécurisé, généralement HTTPS en exploitation Web courante.

La connexion comprend une vérification serveur

Un portail fictif de projets génère un challenge aléatoire et nouveau pour une tentative de connexion. Le navigateur fait produire une réponse signée. L’identifiant rpId lie l’opération au service prévu. Le serveur du portail vérifie notamment la signature avec la clé publique enregistrée, le challenge attendu et le lien au service. L’origine attendue, constituée du protocole, du nom d’hôte et du port du site, fait aussi partie des vérifications.

L’objet renvoyé par le navigateur ne constitue donc pas à lui seul un accès réussi au portail. L’application n’accepte la connexion qu’après vérification côté serveur. Dans ce portail, l’annulation du dialogue ne produit aucune connexion confirmée ; l’interface doit rendre cet état compréhensible.

WebAuthn n’organise ni la synchronisation entre appareils ni la récupération d’un accès perdu. Ces parcours exigent leurs propres décisions. Après une connexion réussie, le serveur vérifie encore quels projets le compte peut ouvrir ou modifier.

Sources

• MDN — Web Authentication API

• MDN — Passkeys