Gracias @Be0
En la mayoría de las implementaciones actuales, las claves de acceso aún no se están implementando de esta manera. Se tratan de forma independiente de la autenticación de dos factores (2FA), véase este informe sobre el enfoque de Youtube. Creo que la industria se adaptará lentamente a esto.
Se necesitan dos cambios para que esto funcione como esperas:
paso 1: permitir el uso de claves de acceso como 2FA (actualmente, como has señalado, las claves de seguridad deben registrarse de forma independiente)
paso 2: aplicar la 2FA en los inicios de sesión con contraseña cuando el usuario haya añadido una clave de acceso
El paso 1 tiene sentido para mí y no es disruptivo. El paso 2 también tiene sentido, pero es un poco disruptivo; si el usuario elimina la clave de acceso de su navegador (o no la tiene en un dispositivo determinado), se bloqueará el acceso.
Creo que tiene sentido investigar esto, sin embargo.