Authentification WebAuthn | Réponse

Une fois que le navigateur (client) envoie une requête au serveur avec le nom d'utilisateur (ou un identifiant similaire), le serveur répond avec les options d'authentification que le client utilisera pour démarrer le processus d'authentification via l'API navigator.credentials.get() du navigateur.

 

Cette réponse fournit les paramètres et contraintes nécessaires au navigateur pour générer une assertion d'authentification WebAuthn à l'aide de l'authentificateur de l'utilisateur (par ex. clé de sécurité, dispositif biométrique).

 

Exemple de réponse JSON :

 

{
  "challenge": "Z3lVbWV5YXBpbmdvZG90IQ", 
  "timeout": 60000,
  "rpId": "example.com",
  "allowCredentials": [
    {
      "type": "public-key",
      "id": "dXNlckNyZWRJZA",
      "transports": ["usb", "nfc", "ble"]
    }
  ],
  "userVerification": "preferred"
}

 

Vous trouverez ci-dessous une description des champs :

 

• challenge : Un défi cryptographique (généré aléatoirement) pour prévenir les attaques par rejeu. Doit être unique par requête.
• timeout : Optionnel. Durée (en ms) pendant laquelle le navigateur doit attendre avant d'annuler l'opération.
• rpId : Identifiant de la partie de confiance — généralement votre nom de domaine.
• allowCredentials: Une liste d'accréditations acceptables (identifiants d'accréditations) que l'utilisateur a précédemment enregistrées.
• userVerification : informe le navigateur sur la façon de vérifier l'utilisateur : « required », « preferred » ou « discouraged ».
• extensions (facultatif) : Capacités supplémentaires ou données demandées à l'authentificateur.

 

 

Avant l'envoi de la réponse au client, l'événement OnWebAuthnAuthenticationOptionsResponse est appelé, vous permettant de personnaliser la réponse.