Merci @Be0
Dans la plupart des implémentations actuelles, les clés d’accès ne sont pas encore déployées de cette manière. Elles sont traitées indépendamment de l’authentification à deux facteurs (2FA). Voir ce rapport sur l’approche de Youtube. Je pense que l’industrie s’adaptera lentement à cela.
Deux changements sont nécessaires pour que cela fonctionne comme vous l’attendez :
étape 1 : autoriser l’utilisation des clés d’accès comme 2FA (actuellement, comme vous l’avez noté, les clés de sécurité doivent être enregistrées indépendamment)
étape 2 : imposer la 2FA lors des connexions par mot de passe lorsqu’un utilisateur a ajouté une clé d’accès
L’étape 1 me semble logique et n’est pas perturbatrice. L’étape 2 semble également logique, mais elle est un peu perturbatrice : si l’utilisateur supprime la clé d’accès de son navigateur (ou n’en a pas sur un appareil donné), l’accès sera bloqué.
Je pense qu’il est judicieux d’examiner cela.