L’attestation est une déclaration de l’authentificateur sur lui-même, signée par une clé que son fabricant y a posée. Elle répond à « quel est cet appareil », pas à « qui est cette personne ».
Quand vous en avez vraiment besoin
- Une politique exige du matériel certifié, dans un environnement réglementé par exemple.
- Vous distribuez les appareils vous-même et voulez n’accepter que ceux-là.
- Vous devez prouver, plus tard et à un tiers, quel type d’authentificateur a servi.
Hors de ces cas, demander une attestation vous achète une valeur dont vous ne ferez rien.
Ce que cela coûte
Un mode de défaillance. Vérifier une attestation suppose de détenir des ancres de confiance et de les tenir à jour. Une racine expirée ou absente transforme un enregistrement qui marchait en refus, pour un contrôle dont vous n’aviez pas besoin.
Une question de vie privée. Une attestation identifie un modèle, parfois un lot. C’est un signal sur l’utilisateur que vous choisissez de collecter.
La compatibilité. Les passkeys synchronisées ne fournissent en général aucune attestation exploitable. L’exiger les exclut, ce qui revient aujourd’hui à exclure un très grand nombre d’utilisateurs.
Le défaut
attestation: none. Vous obtenez quand même la clé publique, l’identifiant d’authentifiant et la résistance à l’hameçonnage, qui est tout l’intérêt de WebAuthn. Ce à quoi vous renoncez, c’est de connaître la marque et le modèle, dont presque rien ne dépend.
Choisissez délibérément, et écrivez la raison à côté de la configuration. « Parce que ça faisait plus sûr » est la façon dont un parcours d’enregistrement acquiert un mode de défaillance que personne ne sait expliquer deux ans plus tard.