¿Qué es authenticatorSelection en WebAuthn?

En WebAuthn, authenticatorSelection es una parte importante del objeto PublicKeyCredentialCreationOptions. Esta característica permite a las Partes Confidentes (RPs) especificar criterios para seleccionar los autenticadores apropiados durante la operación create(). Su importancia radica en:

• Definir los requisitos del autenticador: Determina el tipo de autenticadores que pueden participar en el proceso de registro.
• Vinculación del autenticador: Determina si el autenticador es de plataforma (p. ej., Face ID, Touch ID, Windows Hello) o un autenticador multiplataforma (itinerante).
• Verificación de usuario: Establece el requisito para la verificación de usuario (p. ej., "preferred", "required" o "discouraged").

    "authenticatorSelection": {
      "authenticatorAttachment": "platform",
      "residentKey": "required",
      "requireResidentKey": false,
      "userVerification": "required",
    }

A continuación, desglosamos los posibles valores y configuraciones de authenticatorSelection.

authenticatorSelection en WebAuthn es esencial para garantizar que el proceso de autenticación se alinee con los requisitos de seguridad específicos y las preferencias de experiencia de usuario. Ofrece a las Partes Confidentes la flexibilidad de adaptar el proceso de registro según sus necesidades de seguridad.

Aquí tienes un resumen de los posibles valores, tal como se especifican en la especificación de WebAuthn:

Valores posibles:

• Platform: El autenticador está integrado en la plataforma del cliente y, por lo tanto, no se puede extraer.
• Cross-platform: El autenticador no está vinculado a la plataforma del cliente y se puede usar en múltiples dispositivos.

Este valor especifica si la Parte Confidente quiere crear una credencial detectable. Los valores posibles son:

• required: El autenticador debe crear una clave residente y la operación debe fallar si esto no es posible.
• preferred: El autenticador debe intentar crear una clave residente y, si no es posible, debe crear una clave no residente.
• discouraged: El autenticador debe crear una clave no residente y la operación debe fallar si esto no es posible.

Este valor solo se usa por retrocompatibilidad con WebAuthn nivel 1, y se establece en "true" si residentKey se establece en "required".

Suscríbete a nuestro Substack de passkeys para recibir las últimas noticias.

Suscribirse

Este valor indica si se requiere la verificación de usuario para la operación. Los valores posibles son:

• required: La operación debe verificar al usuario.
• preferred: La operación debería verificar al usuario, pero puede continuar sin hacerlo (valor estándar).
• discouraged: La operación no debería verificar al usuario.

Advertencia: Si se establece en "preferred", el autenticador puede omitir la verificación de usuario en el proceso de autenticación. Puedes leer más sobre este problema en este artículo.

authenticatorSelection en WebAuthn permite a las Partes Confidentes especificar el tipo de autenticadores adecuados para su proceso de autenticación, incluyendo el requisito de verificación de usuario y el tipo de autenticador.

Afecta la experiencia de usuario al determinar el tipo de autenticador utilizado (de plataforma o itinerante) y establecer el nivel de verificación de usuario, influyendo así en la facilidad y seguridad del proceso de autenticación.

Experimenta con flujos de passkeys en Passkeys Debugger.

Probar gratis

La configuración de authenticatorAttachment en authenticatorSelection determina si se requiere un autenticador de plataforma fijo o un autenticador multiplataforma extraíble, lo que afecta las características físicas y funcionales del proceso de autenticación.

Acerca de Corbado

Corbado es la Passkey Intelligence Platform para equipos de CIAM que gestionan autenticación de consumidores a gran escala. Te ayudamos a ver lo que los logs de tu IDP y las herramientas de analytics genéricas no muestran: qué dispositivos, versiones de SO, navegadores y gestores de credenciales soportan passkeys, por qué los registros no se convierten en inicios de sesión, dónde falla el flujo de WebAuthn y cuándo una actualización de SO o navegador rompe el login en silencio — todo sin reemplazar Okta, Auth0, Ping, Cognito o tu IDP propio. Dos productos: Corbado Observe aporta observabilidad para passkeys y cualquier otro método de login. Corbado Connect añade passkeys gestionados con analytics integrado (junto a tu IDP). VicRoads ejecuta passkeys para más de 5M de usuarios con Corbado (+80 % de activación de passkey). Habla con un experto en Passkeys →