Depurador de Passkey / WebAuthn

Prueba llaves de acceso y llaves de seguridad en tu propio navegador, decodifica respuestas WebAuthn capturadas de cualquier aplicación y comprueba qué admite este navegador. Ceremonia en vivo crea y usa credenciales de prueba con este sitio como parte de confianza. Decodificar respuesta convierte clientDataJSON, los datos del autenticador, los objetos de atestación y las claves COSE en campos legibles y ejecuta las comprobaciones de parte de confianza que harías en un servidor.

1. 1.Elige Ceremonia en vivo para registrar una llave de acceso de prueba y luego autenticarte con ella, o Decodificar respuesta para pegar un JSON de respuesta de tu aplicación.
2. 2.En Decodificar respuesta, añade el desafío esperado, el origen, el RP ID, la clave pública almacenada y el contador anterior si los tienes.
3. 3.Revisa las comprobaciones: primero los fallos, luego las advertencias, las notas y las comprobaciones correctas.
4. 4.Abre Detalles para ver el árbol decodificado, la tabla de indicadores, el JWK y los bytes sin procesar; después copia el resumen en Markdown o exporta el JSON decodificado.

Los navegadores vinculan cada credencial a un RP ID que debe coincidir con el dominio de la página. Esta página solo puede crear y usar credenciales para su propio dominio, así que prueba tu navegador, sistema operativo, autenticador y gestor de llaves de acceso, no tu aplicación. Para tu aplicación, captura el JSON de respuesta que tu frontend envía al servidor y decodifícalo aquí; la decodificación funciona sin conexión para cualquier RP ID.

Las comprobaciones cubren el tipo de credencial, el tipo de clientDataJSON, el desafío, el origen, el uso de origen cruzado, el hash del RP ID, los indicadores UP, UV, BE, BS, AT y ED, el contador de firmas, el formato de atestación y la clave pública de la credencial. Las firmas de autenticación se verifican con Web Crypto frente a una clave pública almacenada en formato JWK, COSE o PEM SPKI, con ES256, ES384, ES512, RS256, PS256 y Ed25519 cuando el navegador los admite.

Todo se ejecuta en tu navegador. Las credenciales de prueba y las respuestas pegadas permanecen en memoria y no se envían a los servidores de CodingTool. No se verifican las declaraciones de atestación ni las cadenas de certificados, y no se consulta el FIDO Metadata Service (MDS), por lo que el AAGUID se muestra tal cual. Es una ayuda para depurar, no un sustituto de la verificación WebAuthn en el servidor.