Что такое WebAuthn и Passkeys
WebAuthn (Web Authentication) — W3C стандарт (2019) для безпарольной аутентификации. Пользователь регистрирует "authenticator" (TouchID, Windows Hello, security key Yubikey) → login через биометрию. Passkeys — синоним от Apple/Google/Microsoft с synced keys между devices. Замена паролей и SMS-OTP. Phishing-resistant: key работает только с конкретным origin.
Ниже: подробности, пример, смежные термины, FAQ.
Подробности
- Public-key криптография: authenticator генерирует keypair per-site
- FIDO2 = WebAuthn + CTAP (Client-to-Authenticator Protocol)
- Authenticator: platform (TouchID, Face ID) или roaming (Yubikey)
- Origin-bound: phishing-resistant (key не работает на wrong domain)
- Cross-device sync: iCloud Keychain, Google Password Manager (Passkeys)
Пример
navigator.credentials.create({
publicKey: {
challenge: randomBytes,
rp: { name: "example.com" },
user: { id, name, displayName },
pubKeyCredParams: [{ alg: -7, type: "public-key" }]
}
});Смежные термины
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Гайды
Часто задаваемые вопросы
Passkeys vs WebAuthn?
Passkeys = маркетинговое имя WebAuthn с cross-device sync. Технически одно и то же.
Нужна ли новая инфраструктура?
Нет — WebAuthn работает на стандартных HTTPS sites. Нужен только JS API + backend validation.
Заменит ли пароли?
Постепенно. Gmail, Apple, GitHub уже поддерживают. 2026: ~15% активных users используют passkeys.