Passkey-parathedstest — Test WebAuthn

Passkeys erstatter mange password-flow med credentials, der er beskyttet af din enhed. Denne vejledning forklarer præcis, hvad denne checker tester, hvordan du tester telefonen eller computeren i dine hænder, hvad WebAuthn-resultater betyder, og hvorfor dette værktøj aldrig beder om dine kontodetaljer.

What does this tool test?

Dette værktøj tester den enhed og browser, du bruger lige nu. Åbn siden på den telefon, tablet eller computer, du vil evaluere, og tryk derefter på den sikre support-testknap. Det tjekker, om den aktuelle side er et secure context, om browseren eksponerer PublicKeyCredential API, om en platform-authenticator er tilgængelig, og om conditional mediation understøttes. Det tester ikke en anden telefon fjernbetjent og inspicerer ikke dine konti.

What is a passkey?

En passkey er et WebAuthn-credential, som lader en tjeneste godkende dig med en enheds-låsemetode som Face ID, Touch ID, Android-biometri, Windows Hello eller en enheds-PIN. Den private nøgle forbliver beskyttet af credential-udbyderen; hjemmesiden modtager en public key og et signeret svar under login. Dette design kan modstå mange phishing- og password-genbrugsangreb, men kvaliteten af den samlede login-oplevelse afhænger stadig af tjenestens implementering og valgene for konto-genopretning.

What does Supported mean?

Supported betyder, at browseren eksponerede den relevante capability-API eller rapporterede et positivt resultat. Det er en stærk indikation på, at enheden kan deltage i passkey-flow. Det er ikke en garanti for, at hver hjemmeside vil fungere: siden skal bruge HTTPS, implementere WebAuthn korrekt, skabe et challenge, verificere svaret på sin server og håndtere konto-registrering. Browserindstillinger, virksomhedspolitikker og enhedens skærmlås kan også påvirke den endelige oplevelse.

What does Unavailable mean?

Unavailable kan betyde, at browseren mangler API’en, siden ikke er sikker, enheden ikke har en egnet platform-authenticator, en permission-check mislykkedes, eller browseren ikke eksponerer den valgfrie capability. Prøv samme side i en moderne browser over HTTPS, sørg for at en skærmlås eller biometrisk metode er konfigureret, og test igen. Et negativt resultat her betyder ikke, at kontoen er ødelagt; det beskriver kun denne browser og enhed i dette øjeblik.

Why is there no email or password field?

Checkeren er bevidst kontofri. Den måler browser- og enhedskapabilitet uden at oprette et credential, logge ind på en konto eller overføre personlige oplysninger. En reel passkey-registrering kræver en relying party-server til at udstede et challenge og gemme det offentlige credential. At bede om en e-mail her ville ikke gøre capability-testen mere præcis og ville indføre unødvendig indsamling af persondata.

How to test different devices

For at teste en iPhone, åbn værktøjet i Safari på den iPhone. For at teste Android, åbn det i Chrome eller en anden understøttet browser på Android-telefonen. For at teste Windows Hello, åbn værktøjet på Windows-computeren og bekræft, at Windows Hello er konfigureret. For at teste en Mac, brug en moderne browser og Macs Touch ID eller enhedens sikkerhedsindstillinger. Tryk altid på knappen på den enhed, du vil måle.

Privacy and limitations

Checkeren læser kun browser-capability-API’er. Den opretter, gemmer eller transmitterer aldrig en passkey. Resultater kan ændre sig efter browseropdateringer, ændringer i enhedspolitikker, ændringer i skærmlås eller når siden serveres uden HTTPS. Til produktion skal udviklere teste registrering, autentifikation, recovery, synkronisering og tvær-enhedsflows med en rigtig WebAuthn-server.

What developers must implement on the server

Et browser-capability-tjek er kun det første trin i en reel passkey-udrulning. En relying party skal generere et frisk challenge, sende det til browseren, verificere den returnerede assertion på serveren og binde credential til den korrekte konto. Registrering og autentifikation kræver klare origin- og relying-party-identifikatorer, brugerverifikationspolitik, replay-beskyttelse og sikker fejlbehandling. Serveren bør gemme credential ID, public key, counter og relevant brugermetadata — ikke den private nøgle.

Relaterede Pratix-værktøjer