WebAuthn Autenticación | Respuesta

Una vez que el navegador (cliente) envía una solicitud al servidor con el nombre de usuario del usuario (u un identificador similar), el servidor responde con las opciones de autenticación que el cliente utilizará para iniciar el proceso de autenticación a través de la API navigator.credentials.get() del navegador.

 

Esta respuesta proporciona los parámetros y restricciones necesarios para que el navegador genere una aserción de autenticación WebAuthn utilizando el autenticador del usuario (p. ej., clave de seguridad, dispositivo biométrico).

 

Ejemplo de respuesta JSON:

 

{
"challenge": "Z3lVbWV5YXBpbmdvZG90IQ",
"timeout": 60000,
"rpId": "example.com",
"allowCredentials": [
{
"type": "public-key",
"id": "dXNlckNyZWRJZA",
"transports": ["usb", "nfc", "ble"]
}
],
"userVerification": "preferred"
}

 

A continuación se muestra una descripción de los campos:

 

• challenge: Un desafío criptográfico (generado aleatoriamente) para prevenir ataques de repetición. Debe ser único por solicitud.
• timeout: Opcional. Tiempo que el navegador debe esperar (en ms) antes de cancelar la operación.
• rpId: Identificador de la parte de confianza — normalmente su nombre de dominio.
• allowCredentials: Una lista de credenciales aceptables (IDs de credencial) que el usuario registró previamente.
• userVerification: Informa al navegador cómo verificar al usuario: "required", "preferred" o "discouraged".
• extensions (opcional): Capacidades adicionales o datos solicitados al autenticador.

 

 

Antes de enviar la respuesta al cliente, se llama al evento OnWebAuthnAuthenticationOptionsResponse, lo que permite personalizar la respuesta.