Explicador de opções WebAuthn

Ao chamar navigator.credentials.create, três campos definem o comportamento do login, e a combinação entre eles é o que separa uma passkey de verdade de um segundo fator comum. Errar aqui produz um sistema que parece funcionar mas que não faz o que você imaginava — normalmente exigindo senha para sempre, quando a intenção era eliminá-la.

authenticatorAttachment escolhe o tipo de autenticador: platform aceita só o que está embutido no aparelho, como Touch ID e Windows Hello; cross-platform aceita só chave externa, como uma YubiKey; e omitir aceita os dois. userVerification decide se o autenticador precisa confirmar quem é a pessoa, com biometria ou PIN, ou se basta detectar presença. residentKey decide se a credencial fica guardada no autenticador, com identificador próprio — é isso que permite entrar sem digitar nome de usuário.

Selecione as três opções e a página explica cada escolha e diz o veredito: com userVerification obrigatório e residentKey obrigatória, você tem uma configuração passwordless; em qualquer outra combinação, é 2FA clássico, e a senha continua sendo necessária. Vale notar que residentKey obrigatória consome espaço no autenticador — chaves de segurança antigas guardam poucas dezenas de credenciais.