- Shipped
- 15 novembre 2026 alle ore 04:50 UTC
- Author
- Kamo
- Commit
- f04e606
Chiavi di accesso (Yubico java-webauthn-server 2.6.0): register/options|verify (***), auth/options|verify (pubblico, solo scopribile - allowCredentials sempre vuoto), GET/PATCH/DELETE /api/security/passkeys. RP ID = genitore dell'host della cerimonia (login.acme.com -> acme.com), memorizzato in user_passkeys.rp_id; residentKey + userVerification RICHIESTO, quindi una passkey È il secondo fattore; sfida l'uso singolo (PKREG/PKAUTH GETDEL, 5 min); un contatore di firma che va all'indietro = PASSKEY_SUSPECT (controllato HIGH, PASSKEY_ADDED/REMOVED + lettere, LOGIN_PASSKEY + lettere, LOGIN_PASSKEY + lettere. Codice inviato via email (org email_code_enabled): signin/email-code/send|verify - stessa risposta per ogni identificatore, lettera inviata asincrona solo per un account reale che un'organizzazione autorizzata può ammettere, 6 cifre, 10 min, 5 tentativi, messo indietro per nostra colpa. Un fattore; LOGIN_EMAIL_CODE. Browser attendibile (org trusted_device_days): mfa/challenge rememberDevice -> trustedDeviceToken; il L'intestazione X-Kamo-Trusted-Device salta SOLO il passaggio dell'autenticatore (accesso con password + SignInCompletion); Dimenticato su qualsiasi cambiamento di password e sign-out-ovunque. KamoMobile approvazione: numero di corrispondenza **************** (2 cifre sul computer, 3 scelte sul telefono, una scelta sbagliata nega), 2 min, spinto come SIGNIN_APPROVAL via MediaService; QR: signin/qr/start|status + dispositivo qr-preview|qr-approve, la sessione si ferma nell'organizzazione Gli endpoint dei dispositivi autenticati tramite X-Kamo-Device-Token (convalidati, non ruotati). Signin / metodi ora risponde **************** da policy + kill switch. **************** gestisce ogni gate a valle (account, spazio di lavoro, Il percorso della password rimane invariato a meno che non venga creato un nuovo percorso L'intestazione trusted-device viene inviata.