Mbi 80% e shkeljeve të sigurisë të lidhura me hakerimin përfshijnë kredenciale të vjedhura ose të dobëta, sipas tekstit. Fjalëkalimet ekspozohen nga rrjedhjet e të dhënave, vidhen përmes phishing dhe ripërdoren nga përdoruesit. Passkeys e ndryshojnë këtë model: nuk mbështeten në një sekret të përbashkët dhe kredenciali lidhet me domenin përkatës, duke penguar phishing.
Shembulli teknik tregon si mund të shtohen passkeys me bibliotekën SimpleWebAuthn, pa trajtuar drejtpërdrejt strukturat ArrayBuffer të WebAuthn. Për regjistrimin, serveri gjeneron një sfidë verifikimi, e ruan për përdoruesin dhe ia dërgon shfletuesit. Më pas kontrollon përgjigjen kundrejt sfidës, origjinës dhe identifikuesit të pritshëm të domenit, përpara se të ruajë të dhënat e passkey.
Në shfletues, funksioni startRegistration hap kërkesën për Face ID, gjurmë gishti ose PIN. Shfletuesi dhe sistemi operativ kryejnë veprimet kriptografike, pa ia ekspozuar çelësin privat kodit të aplikacionit. Hyrja ndjek një rrjedhë të ngjashme, me startAuthentication në shfletues dhe funksionet përkatëse të gjenerimit e verifikimit në server.
Një kërkesë e rëndësishme konfigurimi është që rpID të përputhet me domenin e regjistrueshëm, si example.com. Ai nuk duhet të jetë URL dhe nuk duhet të përmbajë parashtesën https://.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
