パスキーデモ & WebAuthn テスター

WebAuthn（Web Authentication）は、パスキーを支える W3C 標準のブラウザ API です。共有のパスワードの代わりに、デバイスがサイトごとに公開鍵と秘密鍵のペアを作成します。秘密鍵はオーセンティケーターの外に出ず、サイトは公開鍵だけを保存します。サインインはチャレンジレスポンス方式の署名で行われます。ブラウザがすべてのクレデンシャルを作成元のオリジンに厳密に結び付けるため、パスキーはフィッシングに耐性があります。 パスキー実装の開発者ガイドをご覧ください。

はい。このページで作成されるパスキーは本物ですが、このサイトだけに限定されており、このデモ以外には使えません。秘密鍵はデバイスのオーセンティケーターに留まり、公開鍵とクレデンシャルのメタデータはブラウザの localStorage にのみ保存されます。サーバーが存在しないため、どこにも送信されません。デモの記録はワンクリックで削除でき、パスキー自体もいつでもデバイスから削除できます。

ツール内の「Forget」はこのページの記録を削除するだけです。パスキーをデバイスから削除するには:

AAGUID（Authenticator Attestation Globally Unique Identifier）は、個々のデバイスではなくオーセンティケーターのモデル（例: Google パスワードマネージャーや YubiKey 5）を識別する 16 バイトの ID です。このツールは、コミュニティが管理する passkey-authenticator-aaguids リストのスナップショットと照合して解決します。アテステーションが「none」（デフォルト）の場合、多くのオーセンティケーターはプライバシーのためにこれをゼロにします。

署名カウンターは複製されたクレデンシャルを検出するために設計されたもので、使用ごとに増えるはずのものです。しかし同期されるパスキーは複数のデバイスに同時に存在し、単一の共有カウンターを維持できません。そのため、ほとんどのパスキープロバイダー（iCloud キーチェーン、Google パスワードマネージャー）は常に 0 を返し、「カウンター非対応」を意味します。ハードウェアセキュリティキーは通常、カウンターを増やします。