Saltar al contenido principal
Una passkey permite que una persona inicie sesión con un dispositivo, como un teléfono o una llave de seguridad, en lugar de una contraseña. El inicio de sesión con passkey es una opción de tu organización. Un administrador la activa o la desactiva. Las passkeys aplican a las cuentas de usuario. Las aplicaciones de máquina a máquina siguen usando credenciales de cliente.

Qué cambia cuando activas la opción

  • Una persona que tiene una passkey inicia sesión con ella. Mientras el inicio de sesión con contraseña está activado, Auth rechaza el inicio de sesión con contraseña de esa persona con 403 AUT-1019.
  • Lerian Console ofrece Iniciar sesión con una passkey después de que la persona escribe su correo.
  • Una persona que no tiene passkey inicia sesión con una contraseña cuando el inicio de sesión con contraseña está activado, y con MFA cuando MFA está habilitado.
  • Un inicio de sesión con passkey no pide un segundo factor.
Cuando desactivas el inicio de sesión con passkey, Access Manager conserva las passkeys almacenadas. Una persona que tiene una passkey puede iniciar sesión con contraseña de nuevo mientras el inicio de sesión con contraseña está activado.

Activar o desactivar el inicio de sesión con passkey

Envía enabled a Actualizar la política de passkey. Quien llama necesita el permiso application-providers de plugin-identity con la acción patch. Obtener la política de passkey muestra la opción y ssoActive, que es true cuando un proveedor SSO está activo. Necesita la acción get. Mientras un proveedor SSO está activo, Identity rechaza activar las passkeys con 409 IDE-1068. Mientras las passkeys están activadas, Identity rechaza configurar un proveedor SSO con 409 IDE-1069.

Agregar una passkey

Cada persona agrega su propia passkey, con su propio token. Una cuenta tiene una passkey.
1

Empieza el registro

Llama a Empezar el registro de passkey con el ID de usuario de la persona. Identity responde las opciones de creación WebAuthn y un enrollmentToken.
2

Crea la passkey en el navegador

Pasa las opciones a navigator.credentials.create.
3

Completa el registro

En un plazo de 5 minutos, envía el enrollmentToken y la credencial creada a Completar el registro de passkey. Un registro funciona una vez.
Para agregar o quitar una passkey, el token de la persona debe ser reciente: emitido hace como máximo PASSKEY_RECENT_AUTH_SEC segundos. De lo contrario, Identity rechaza con 403 IDE-1070, y la persona inicia sesión de nuevo. Identity rechaza una nueva passkey con 409 IDE-1073 mientras el inicio de sesión con passkey está desactivado. Rechaza con 409 IDE-1071 cuando la cuenta ya tiene una passkey. Estas operaciones necesitan el permiso passkeys de plugin-identity: get para leer el estado, post para agregar una passkey y delete para quitarla.

Iniciar sesión con una passkey

1

Empieza el inicio de sesión

Envía el correo de la persona a Empezar un inicio de sesión con passkey. Auth responde las opciones de solicitud WebAuthn y un passkeyToken.
2

Obtén la aserción en el navegador

Pasa las opciones a navigator.credentials.get.
3

Completa el inicio de sesión

En un plazo de 5 minutos, envía el passkeyToken y la aserción a Completar un inicio de sesión con passkey. Auth responde un access token y un refresh token. Un passkeyToken funciona una vez.
Cuando el tenant no ofrece el inicio de sesión con passkey, Auth responde 403 AUT-1016. Auth aplica tu lista de IP permitidas a las dos llamadas, como lo hace con un inicio de sesión con contraseña. Descubrir cómo inicia sesión un correo devuelve passkeyEnabled, para que tu pantalla de inicio de sesión pueda ofrecer la opción de passkey.

Quitar una passkey

Una persona quita su propia passkey con Eliminar la passkey. Esto también funciona mientras el inicio de sesión con passkey está desactivado. Cuando una persona pierda el dispositivo, un administrador de la misma organización quita la passkey con DELETE /v1/users/{id}/passkeys/admin, donde {id} es la persona. Quien llama necesita el permiso passkeys-admin de plugin-identity con la acción delete. La llamada no exige un inicio de sesión reciente y funciona con el inicio de sesión con passkey desactivado. La persona conserva la contraseña y puede añadir una passkey nueva. También puedes desactivar el inicio de sesión con passkey. Mientras el inicio de sesión con contraseña está activado, la persona entonces inicia sesión con contraseña y quita la passkey. La ruta rechaza la passkey del propio administrador con 403 e IDE-1074.

Gestionar passkeys en la Console

En Settings › Security, la pestaña Passkey permite que una persona añada o quite su propia passkey. La pestaña también incluye el interruptor Allow passkey sign-in, que exige el permiso application-providers con la acción patch. Un administrador quita la passkey de otra persona en la pestaña Security de la página de usuario de esa persona.

Requisitos de despliegue (BYOC)

  • Define MFA_SECRET en Auth. Sin él, las dos llamadas de inicio de sesión con passkey responden 503 AUT-0028. Consulta Requisitos de despliegue de MFA.
  • PASSKEY_RECENT_AUTH_SEC en Identity define la antigüedad máxima, en segundos, del token que agrega o quita una passkey. El valor predeterminado es 600.
  • Ejecuta Caradhras v2.0.0 o posterior.
  • En Caradhras, define webauthnRpId y webauthnRpOrigins: el dominio que comparten tus páginas de inicio de sesión y los orígenes HTTPS de las páginas que hacen una ceremonia de passkey.

Páginas relacionadas

Autenticación multifactor

Agrega un segundo paso de verificación al inicio de sesión con contraseña y con SSO.

Lista de errores