Реалізація аутентифікації через Passkeys (WebAuthn) на веб-сайті
Passkeys — стандарт FIDO2/WebAuthn для безпарольної аутентифікації. Користувач входить через біометрію пристрою (Touch ID, Face ID, Windows Hello) або апаратний ключ (YubiKey). Без паролів, без SMS — криптографічна пара ключів зберігається у безпечному сховищі пристрою.
Passkeys підтримуються в Chrome 108+, Safari 16+, Firefox 122+. iOS 16+ та Android 9+ синхронізують ключі через iCloud Keychain та Google Password Manager.
Архітектура WebAuthn
Процес реєстрації: Сервер генерує виклик, браузер передає його пристрою. Пристрій перевіряє біометрію, створює пару ключів, повертає публічний ключ та посвідчення. Сервер зберігає публічний ключ.
Процес аутентифікації: Сервер генерує виклик, браузер передає його пристрою. Пристрій підписує виклик приватним ключем. Сервер перевіряє підпис публічним ключем.
Приватний ключ ніколи не покидає пристрій. Сервер зберігає тільки публічний ключ.
Серверна бібліотека
Реєстрація та перевірка Passkeys вимагають WebAuthn бібліотеки. Для Node.js: @simplewebauthn/server. Для PHP: web-auth/webauthn-lib.
Реєстрація Passkey
Крок 1: Виклик від сервера
Сервер генерує випадковий виклик та відправляє його клієнту разом з опціями реєстрації.
Крок 2: Браузер створює пару ключів
Браузер використовує WebAuthn API для створення пари ключів на пристрої. Користувач підтверджує біометрією.
Крок 3: Сервер перевіряє та зберігає публічний ключ
Сервер отримує публічний ключ і зберігає його для майбутньої аутентифікації.
Аутентифікація через Passkey
Отримати виклик:
Сервер генерує та відправляє виклик.
Браузер підписує виклик:
Пристрій використовує збережений приватний ключ для підписання виклику.
Перевірка на сервері:
Сервер перевіряє підпис за допомогою збереженого публічного ключа.
Схема БД
Потрібні таблиці: webauthn_credentials для зберігання публічних ключів та даних посвідчення, webauthn_challenge для тимчасових викликів.
Discoverable Credentials
Сучасні Passkeys підтримують режим без введення електронної пошти — браузер пропонує всі доступні ключі.
На сервері идентифікатор користувача отримується з відповіді.
Управління пристроями
Показати список зареєстрованих Passkeys з ім'ям пристрою, датою останнього використання та кнопкою видалення. Після видалення користувач не може увійти через цей ключ.
Резервна опція
Завжди надавати альтернативний спосіб входу на випадок втрати всіх пристроїв: email+пароль або Magic Link.
Тимчасовість роботи
| Етап | Час |
|---|---|
| Установка, конфігурація | 1 день |
| Реєстрація: backend + frontend | 2 дні |
| Аутентифікація: backend + frontend | 2 дні |
| Управління пристроями + резервна опція | 1 день |
| Тестування на реальних пристроях | 1–2 дні |
Всього: 7–9 робочих днів.