> ## Documentation Index > Fetch the complete documentation index at: https://docs.lerian.studio/llms.txt > Use this file to discover all available pages before exploring further. # Passkeys > Permita que as pessoas entrem com uma passkey em vez de uma senha e gerencie as passkeys delas pelas APIs do Access Manager. Uma passkey permite que uma pessoa entre com um dispositivo, como um celular ou uma chave de segurança, em vez de uma senha. O login com passkey é uma opção da sua organização. Um administrador ativa ou desativa essa opção. As passkeys se aplicam a contas de usuário. As aplicações de máquina a máquina continuam a usar credenciais de cliente. ## O que muda quando você ativa a opção *** * Uma pessoa que tem uma passkey entra com ela. O Auth recusa o login com senha dessa pessoa com `403` `AUT-1019`. * O Lerian Console faz login com senha ou SSO. Uma pessoa que tem uma passkey não consegue entrar no Console enquanto a opção está ativada. * Uma pessoa que não tem passkey entra com uma senha, e com [MFA](https://docs.lerian.studio/pt/platform/access-manager/features/mfa/overview) quando a MFA está habilitada. * Um login com passkey não pede um segundo fator. Quando você desativa o login com passkey, o Access Manager mantém as passkeys armazenadas. Uma pessoa que tem uma passkey pode entrar com senha de novo. ## Ativar ou desativar o login com passkey *** Envie `enabled` para [Atualizar a política de passkey](https://docs.lerian.studio/pt/reference/platform/access-manager/update-passkey-policy.md). Quem chama precisa da permissão `application-providers` do `plugin-identity` com a ação `patch`. [Obter a política de passkey](https://docs.lerian.studio/pt/reference/platform/access-manager/get-passkey-policy.md) mostra a opção e `ssoActive`, que é `true` quando um provedor de SSO está ativo. Ela precisa da ação `get`. Enquanto um provedor de SSO está ativo, o Identity recusa ativar as passkeys com `409` `IDE-1068`. Enquanto as passkeys estão ativadas, o Identity recusa configurar um provedor de SSO com `409` `IDE-1069`. ## Adicionar uma passkey *** Cada pessoa adiciona a própria passkey, com o próprio token. Uma conta tem uma passkey. **1. Comece o cadastro** Chame [Começar o cadastro de passkey](https://docs.lerian.studio/pt/reference/platform/access-manager/begin-passkey-enrollment.md) com o ID de usuário da pessoa. O Identity responde as opções de criação WebAuthn e um `enrollmentToken`. **2. Crie a passkey no navegador** Passe as opções para `navigator.credentials.create`. **3. Conclua o cadastro** Em até 5 minutos, envie o `enrollmentToken` e a credencial criada para [Concluir o cadastro de passkey](https://docs.lerian.studio/pt/reference/platform/access-manager/finish-passkey-enrollment.md). Um cadastro funciona uma vez. Para adicionar ou remover uma passkey, o token da pessoa deve ser recente: emitido há no máximo `PASSKEY_RECENT_AUTH_SEC` segundos. Caso contrário, o Identity recusa com `403` `IDE-1070`, e a pessoa entra novamente. O Identity recusa uma nova passkey com `409` `IDE-1073` enquanto o login com passkey está desativado. Ele recusa com `409` `IDE-1071` quando a conta já tem uma passkey. Essas operações precisam da permissão `passkeys` do `plugin-identity`: `get` para ler o status, `post` para adicionar uma passkey e `delete` para removê-la. ## Entrar com uma passkey *** **1. Comece o login** Envie o email da pessoa para [Começar um login com passkey](https://docs.lerian.studio/pt/reference/platform/access-manager/begin-a-passkey-login.md). O Auth responde as opções de requisição WebAuthn e um `passkeyToken`. **2. Obtenha a asserção no navegador** Passe as opções para `navigator.credentials.get`. **3. Conclua o login** Em até 5 minutos, envie o `passkeyToken` e a asserção para [Concluir um login com passkey](https://docs.lerian.studio/pt/reference/platform/access-manager/finish-a-passkey-login.md). O Auth responde um access token e um refresh token. Um `passkeyToken` funciona uma vez. Quando o tenant não oferece login com passkey, o Auth responde `403` `AUT-1016`. O Auth aplica a sua lista de IPs permitidos às duas chamadas, como faz em um login com senha. [Descobrir como um email entra](https://docs.lerian.studio/pt/reference/platform/access-manager/discover-how-an-email-signs-in.md) retorna `passkeyEnabled`, para que a sua tela de login possa oferecer a opção de passkey. ## Remover uma passkey *** Uma pessoa remove a própria passkey com [Excluir a passkey](https://docs.lerian.studio/pt/reference/platform/access-manager/delete-passkey.md). Isso também funciona enquanto o login com passkey está desativado. Quando uma pessoa perder o dispositivo, desative o login com passkey. A pessoa entra com senha e remove a passkey. ## Requisitos de deploy (BYOC) *** * Defina `MFA_SECRET` no Auth. Sem ele, as duas chamadas de login com passkey respondem `503` `AUT-0028`. Veja [Requisitos de deploy da MFA](https://docs.lerian.studio/pt/platform/access-manager/features/mfa/deployment.md). * `PASSKEY_RECENT_AUTH_SEC` no Identity define a idade máxima, em segundos, do token que adiciona ou remove uma passkey. O padrão é `600`. * Rode o Caradhras v1.8.0 ou posterior. * No Caradhras, defina `webauthnRpId` e `webauthnRpOrigins`: o domínio que as suas páginas de login compartilham e as origens HTTPS das páginas que fazem uma cerimônia de passkey. ## Páginas relacionadas *** > **[Autenticação multifator](https://docs.lerian.studio/pt/platform/access-manager/features/mfa/overview)** > > Adicione uma segunda etapa de verificação ao login com senha e com SSO. > **[Lista de erros](https://docs.lerian.studio/pt/reference/platform/access-manager/access-manager-error-list.md)** This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.