Grazie @Be0
Nella maggior parte delle implementazioni attuali, le passkey non vengono ancora distribuite in questo modo. Sono trattate come indipendenti dall’autenticazione a due fattori (2FA), vedi questo report sull’approccio di Youtube. Penso che l’industria si adatterà lentamente a questo.
Sono necessarie due modifiche affinché ciò funzioni come ti aspetti:
passaggio 1: consentire l’uso delle passkey come 2FA (attualmente, come hai notato, le chiavi di sicurezza devono essere registrate separatamente)
passaggio 2: imporre la 2FA sui login con password quando l’utente ha aggiunto una passkey
Il passaggio 1 ha senso per me e non è dirompente. Anche il passaggio 2 ha senso, ma è un po’ dirompente; se l’utente elimina la passkey dal proprio browser (o non ce l’ha su un dato dispositivo), l’accesso verrà bloccato.
Penso che valga la pena approfondire la questione.