- Enviado
- 15 de novembro de 2026 às 04:50 UTC
- Autor
- Kamo
- Confirmação
- f04e606
Teclas de acesso (Yubico java-webauthn-server 2.6.0): register/options|verify (***), auth/options|verify (público, apenas detectável - allowCredentials sempre vazio), GET/PATCH/DELETE /api/security/passkeys. RP ID = pai do host da cerimônia (login.acme.com -> acme.com), armazenado em user_passkeys.rp_id; residentKey + userVerification OBRIGATÓRIO, portanto, uma senha É o segundo fator; desafios de uso único (PKREG/PKAUTH GETDEL, 5 min); um contador de assinatura indo para trás = PASSKEY_SUSPECT (auditado HIGH, linha mantida). PASSKEY_ADDED/REMOVED + letras, LOGIN_PASSKEY. Código enviado por e-mail (org email_code_enabled): signin/email-code/send|verify - mesma resposta para todos identificador, carta enviada async somente para uma conta real uma organização que permite pode admitir, 6 dígitos, 10 min, 5 tentativas, colocar de volta em nossa própria culpa. Um fator; LOGIN_EMAIL_CODE. Navegador confiável (org trusted_device_days): mfa/challenge rememberDevice -> trustedDeviceToken; O cabeçalho X-Kamo-Trusted-Device pula APENAS a etapa do autenticador (login por senha + SignInCompletion); esquecido em qualquer alteração de senha e logout-em todos os lugares. KamoMobile aprovação: número de correspondência **************** (2 dígitos no computador, 3 escolhas no telefone, uma escolha errada nega), 2 min, enviado como SIGNIN_APPROVAL via MediaService; QR: signin/qr/start|status + dispositivo qr-preview|qr-approve, a sessão aterrissa na organização Pontos finais de dispositivo autenticados pelo X-Kamo-Device-Token (validado, não girado). Signin / métodos agora responde **************** de política + kill switches. **************** executa cada gate downstream (conta, espaço de trabalho, a opção org do método, regras de acesso, SignInCompletionService) O cabeçalho trusted-device é enviado.