- Expédié
- 15 novembre 2026 à 04:50 UTC
- Auteur
- Kamo
- Commit
- f04e606
Clés de passe (Yubico java-webauthn-server 2.6.0): register/options|verify (***), auth/options|verify (public, découvrable uniquement - allowCredentials toujours vide), GET/PATCH/DELETE /api/security/passkeys. RP ID = parent de l'hôte de cérémonie (login.acme.com -> acme.com), stocké dans user_passkeys.rp_id; residentKey + userVerification OBLIGATOIRE, donc une clé de passe EST le deuxième facteur; défis à usage unique (PKREG/PKAUTH GETDEL, 5 min); un compteur de signatures en arrière = PASSKEY_SUSPECT (audité HIGH, PASSKEY_ADDED/REMOVED + les lettres, LOGIN_PASSKEY. Code envoyé par courriel (org email_code_enabled): signin/email-code/send|verify - même réponse pour chaque identifiant, lettre envoyée asynchrone uniquement pour un compte réel qu'une organisation autorisée peut admettre, 6 chiffres, 10 min, 5 tentatives, remis à notre propre faute. Un facteur; LOGIN_EMAIL_CODE. Navigateur de confiance (org trusted_device_days): mfa/challenge rememberDevice -> trustedDeviceToken; L'en-tête X-Kamo-Trusted-Device ignore SEULEMENT l'étape d'authentification (mot de passe de connexion + SignInCompletion); Oublié sur n'importe quel changement de mot de passe et sign-out-n'importe où. KamoMobile approbation: **************** numéro correspondant (2 chiffres sur la 3 choix sur l'ordinateur, 3 choix sur le téléphone, un mauvais choix dénie), 2 min, poussé comme SIGNIN_APPROVAL via MediaService; QR: signin/qr/start|status + appareil qr-preview|qr-approve, la session atterrit dans l'organe Les points de terminaison des appareils sont authentifiés par X-Kamo-Device-Token (validés, pas tournés). signin / méthodes répond maintenant **************** de la politique + kill switches. **************** exécute chaque passerelle en aval (compte, espace de travail, Le chemin du mot de passe reste inchangé à moins qu'un utilisateur ne modifie le commutateur org de la méthode, les règles d'accès, L'en-tête trusted-device est envoyé.