Я из команды LibreDB Studio (открытый веб-клиент для БД, ставится на свой сервер). Недавно в main добавили вход по passkey, в релиз он ещё не попал. По ходу пришлось решить несколько вопросов, в которых я не уверен, поэтому интересно мнение тех, кто сам держит такие сервисы дома или на работе.

С IP-адресами так. Браузер разрешает WebAuthn только по HTTPS с доменным именем или на localhost, по IP не работает даже через HTTPS. Кто открывает интерфейс по http://192.168.x.x, у того кнопки passkey просто не будет, поэтому пароль есть у каждой учётной записи, а passkey только дополнительный способ входа. Вариант с внутренним CA, mkcert и именем в /etc/hosts знаем, вопрос в том, стоит ли делать его обязательным или для домашней сети это перебор.

Про TOTP. Вход по passkey заменяет сразу и пароль, и TOTP: проверка пользователя (PIN или отпечаток) обязательна, поэтому passkey считается двухфакторным. Работают и аппаратные ключи, не только синхронизируемые passkey. Но часть менеджеров паролей сообщает, что PIN или биометрия проверены, хотя проверки не было, а без аттестации сервер это отличить не может. Это нормально, или TOTP всё равно стоит спрашивать?

И восстановление. Потерял passkey, входишь по паролю и сам удаляешь старый ключ. Забыл пароль, идёшь к админу, он задаёт новый, и по умолчанию все passkey пользователя удаляются. Своей страницы смены пароля нет. При смене домена ключи тоже перестают работать. Для небольшой команды это терпимо, но интересно, как с этим живут у вас.

Все ограничения описаны тут: https://github.com/libredb/libredb-studio/blob/main/docs/PAS...