- Enviado
- 15 de noviembre de 2026 a las 4:50 UTC
- Autor
- Kamo
- Commit
- f04e606
Teclas de acceso (Yubico java-webauthn-server 2.6.0): register/options|verify (***), auth/options|verify (público, solo detectable - allowCredentials siempre vacío), GET/PATCH/DELETE /api/security/passkeys. RP ID = padre del host de ceremonia (login.acme.com -> acme.com), almacenado en user_passkeys.rp_id; residentKey + userVerification REQUISITO por lo que una clave de acceso ES el segundo factor; desafía el uso único (PKREG/PKAUTH GETDEL, 5 min); un contador de firmas que va hacia atrás = PASSKEY_SUSPECT (auditado HIGH, PASSKEY_ADDED/REMOVED + letras, LOGIN_PASSKEY. Código enviado por correo electrónico (org email_code_enabled): signin/email-code/send|verify - misma respuesta para cada identificador, carta enviada async solo para una cuenta real que una organización autorizada puede admitir, 6 dígitos, 10 min, 5 intentos, poner de nuevo en nuestra propia culpa. Un factor; LOGIN_EMAIL_CODE. Navegador de confianza (org trusted_device_days): mfa/challenge rememberDevice -> trustedDeviceToken; El encabezado X-Kamo-Trusted-Device omite SOLO el paso del autenticador (inicio de sesión con contraseña + SignInCompletion); No te olvides de ningún cambio de contraseña y cierra sesión en todas partes. KamoMobile aprobación: coincidencia del número **************** (2 dígitos en el 3 opciones en el ordenador, 3 opciones en el teléfono, una elección incorrecta niega), 2 min, empujado como SIGNIN_APPROVAL vía MediaService; QR: signin/qr/start|status + dispositivo qr-preview|qr-approve, la sesión aterriza en la organización Puntos finales de dispositivos autenticados por X-Kamo-Device-Token (validado, no rotado). signin/methods ahora responde **************** de la política + interruptores de corte. **************** ejecuta cada puerta de enlace descendente (cuenta, espacio de trabajo, La ruta de la contraseña no cambia a menos que un usuario cambie la contraseña Se envía el encabezado trusted-device.