lbuchs\/webauthn<\/a> de Lukas Buchs. Elle tient dans une classe principale, WebAuthn.php, accompagn\u00e9e de ses d\u00e9codeurs CBOR et d’attestation, et son dossier \u00ab _test \u00bb contient une d\u00e9mo compl\u00e8te: une page client.html et un server.php qui jouent les deux r\u00f4les. Nous la remontons ici sur un Apache avec PHP 8.3, dans un conteneur Docker nomm\u00e9 srvphp01, avec localhost comme Relying Party.<\/p>\nAttention: le navigateur n’expose l’API WebAuthn que dans un contexte s\u00e9curis\u00e9, c’est \u00e0 dire en HTTPS ou sur localhost. Sur un vrai serveur il faut un certificat, et un RP ID \u00e9gal au nom de domaine du site ou \u00e0 l’un de ses suffixes.<\/p>\n
Installation sur le serveur PHP<\/h3>\n La biblioth\u00e8que demande PHP 8.0 au minimum avec les extensions OpenSSL et mbstring, et sodium pour les cl\u00e9s Ed25519. L’image officielle php:8.3-apache les fournit d\u00e9j\u00e0. Nous y ajoutons unzip pour Composer et jq pour lire les logs, et nous envoyons les logs d’Apache dans des fichiers, l’image les dirigeant par d\u00e9faut vers la sortie du conteneur:<\/p>\n
docker run -d --name webauthn-lab --hostname srvphp01 -p 127.0.0.1:8090:80 php:8.3-apache\ndocker exec -it webauthn-lab bash\napt-get update && apt-get install -y unzip jq\nrm \/var\/log\/apache2\/access.log \/var\/log\/apache2\/error.log && apache2ctl -k graceful\nphp -v\nphp -m | grep -E 'openssl|mbstring|sodium'<\/code><\/pre>\nPHP 8.3.36 et les trois extensions demand\u00e9es par la biblioth\u00e8que<\/figcaption><\/figure>\nComposer s’installe avec le script officiel, puis la biblioth\u00e8que arrive depuis Packagist, en version 2.2.0 \u00e0 l’heure o\u00f9 j’\u00e9cris ces lignes:<\/p>\n
curl -sS https:\/\/getcomposer.org\/installer | php -- --install-dir=\/usr\/local\/bin --filename=composer\ncd \/var\/www\ncomposer require lbuchs\/webauthn<\/code><\/pre>\nInstallation de lbuchs\/webauthn 2.2.0 avec Composer<\/figcaption><\/figure>\nLa d\u00e9mo est livr\u00e9e avec le paquet, dans vendor\/lbuchs\/webauthn\/_test. Nous la copions dans le site et rempla\u00e7ons son require_once '..\/src\/WebAuthn.php'<\/code> par l’autoload de Composer:<\/p>\ncp -r vendor\/lbuchs\/webauthn\/_test html\/webauthn\nsed -i \"s#require_once '..\/src\/WebAuthn.php';#require_once __DIR__ . '\/..\/..\/vendor\/autoload.php';#\" html\/webauthn\/server.php\nchown -R www-data: html\/webauthn<\/code><\/pre>\nLa d\u00e9mo copi\u00e9e dans le site et branch\u00e9e sur l’autoload de Composer<\/figcaption><\/figure>\nLa d\u00e9mo ne journalise rien. Pour retrouver dans les logs ce que le serveur a re\u00e7u et v\u00e9rifi\u00e9, nous ajoutons dans server.php un error_log()<\/code> juste apr\u00e8s l’appel \u00e0 processCreate, et un autre apr\u00e8s processGet:<\/p>\nfunction b64u($b) { return rtrim(strtr(base64_encode($b), \"+\/\", \"-_\"), \"=\"); }\n\n\/\/ apr\u00e8s $data = $WebAuthn->processCreate(...)\nerror_log('webauthn processCreate ' . json_encode(array(\n 'clientData' => json_decode($clientDataJSON), 'fmt' => $data->attestationFormat,\n 'aaguid' => bin2hex($data->AAGUID), 'UP' => $data->userPresent, 'UV' => $data->userVerified,\n 'BE' => $data->isBackupEligible, 'BS' => $data->isBackedUp, 'signCount' => $data->signatureCounter,\n 'rootValid' => $data->rootValid, 'credentialId' => b64u($data->credentialId)), JSON_UNESCAPED_SLASHES));\n\n\/\/ apr\u00e8s $WebAuthn->processGet(...)\nerror_log('webauthn processGet ' . json_encode(array(\n 'clientData' => json_decode($clientDataJSON), 'signCount' => $WebAuthn->getSignatureCounter(),\n 'clientDataJSON_b64u' => b64u($clientDataJSON), 'authenticatorData_b64u' => b64u($authenticatorData)), JSON_UNESCAPED_SLASHES));<\/code><\/pre>\nEnr\u00f4lement<\/h3>\n La page http:\/\/localhost:8090\/webauthn\/client.html expose les param\u00e8tres de la c\u00e9r\u00e9monie. Nous cochons les passkeys (credentials d\u00e9couvrables c\u00f4t\u00e9 client), nous imposons la v\u00e9rification de l’utilisateur et nous laissons l’attestation activ\u00e9e, avec tous les formats propos\u00e9s:<\/p>\nLa page de d\u00e9mo, RP ID localhost, v\u00e9rification de l’utilisateur obligatoire<\/figcaption><\/figure>\nPour ne pas d\u00e9pendre d’un mat\u00e9riel, l’authentificateur est celui que Chromium sait simuler, le m\u00eame que dans l’onglet \u00ab WebAuthn \u00bb des outils de d\u00e9veloppement. Nous le pilotons avec Playwright par le protocole DevTools: un authentificateur interne en CTAP2, qui conserve ses cl\u00e9s et r\u00e9pond \u00e0 la v\u00e9rification de l’utilisateur sans intervention.<\/p>\n
await cdp.send('WebAuthn.enable');\nawait cdp.send('WebAuthn.addVirtualAuthenticator', { options: {\n protocol: 'ctap2', transport: 'internal', hasResidentKey: true,\n hasUserVerification: true, isUserVerified: true, automaticPresenceSimulation: true } });<\/code><\/pre>\nLe bouton \u00ab new registration \u00bb encha\u00eene les deux appels du sch\u00e9ma de la biblioth\u00e8que. Le premier, GET server.php?fn=getCreateArgs<\/code>, renvoie les options de cr\u00e9ation:<\/p>\n{\n \"publicKey\": {\n \"rp\": {\n \"name\": \"WebAuthn Library\",\n \"id\": \"localhost\"\n },\n \"authenticatorSelection\": {\n \"userVerification\": \"required\",\n \"requireResidentKey\": true,\n \"residentKey\": \"required\"\n },\n \"user\": {\n \"id\": \"=?BINARY?B?ZGVtb2RlbW8=?=\",\n \"name\": \"demo\",\n \"displayName\": \"Demo Demolin\"\n },\n \"pubKeyCredParams\": [\n {\n \"type\": \"public-key\",\n \"alg\": -8\n },\n {\n \"type\": \"public-key\",\n \"alg\": -7\n },\n {\n \"type\": \"public-key\",\n \"alg\": -257\n }\n ],\n \"attestation\": \"direct\",\n \"extensions\": {\n \"exts\": true\n },\n \"timeout\": 240000,\n \"challenge\": \"=?BINARY?B?ySlWh2+Z8VeQ5PdXk0ZbSks0olxsDV3YO7J6OwOuwPM=?=\",\n \"excludeCredentials\": []\n }\n}<\/code><\/pre>\nNous y retrouvons ce que nous avons d\u00e9crit pour Entra ID: le RP ID, l’identifiant de l’utilisateur, les algorithmes accept\u00e9s (-8 pour Ed25519, -7 pour ES256, -257 pour RS256), residentKey \u00e0 required pour obtenir une passkey, et une attestation direct, que la biblioth\u00e8que demande d\u00e8s que des certificats racines sont charg\u00e9s (ici le dossier du FIDO Metadata Service, coch\u00e9 par d\u00e9faut dans la page). Les champs binaires voyagent sous une forme assez inhabituelle, =?BINARY?B?\u2026?=<\/code>, que client.html reconvertit en ArrayBuffer avant d’appeler navigator.credentials.create. Le second appel, POST fn=processCreate<\/code>, transmet le clientDataJSON et l’attestationObject.<\/p>\nLa page r\u00e9pond registration ok, but certificate does not match any of the selected root ca.<\/code> et le tableau des donn\u00e9es que le serveur a conserv\u00e9es (server.php?fn=getStoredDataHtml) montre pourquoi:<\/p>\nCe que le serveur conserve apr\u00e8s l’enr\u00f4lement<\/figcaption><\/figure>\nL’attestation est au format packed, mais son certificat a le m\u00eame \u00e9metteur et le m\u00eame sujet, \u00ab Batch Certificate (Chromium Authenticator Attestation) \u00bb: il est auto-sign\u00e9, ne remonte \u00e0 aucune racine de confiance, et rootValid vaut no. La d\u00e9mo accepte malgr\u00e9 tout l’enregistrement, car elle appelle processCreate avec son dernier param\u00e8tre, $failIfRootMismatch, \u00e0 false. Nous sommes dans le cas d\u00e9crit plus haut pour Entra ID: l’authentificateur annonce un AAGUID, ici 01020304-0506-0708-0102-030405060708, celui de l’authentificateur virtuel de Chromium, et rien ne permet de croire cette valeur.<\/p>\n
-> la cl\u00e9 publique commence par MCowBQYDK2Vw, l’en-t\u00eate d’une cl\u00e9 Ed25519: l’authentificateur a retenu le premier algorithme de la liste (-8), que la biblioth\u00e8que ne propose que si sodium ou OpenSSL savent v\u00e9rifier ce type de signature.<\/p>\n
-> UP et UV sont lev\u00e9s, BE et BS ne le sont pas: la cl\u00e9 est li\u00e9e \u00e0 l’appareil, et son compteur d\u00e9marre \u00e0 1.<\/p>\n
Le tableau laisse l’AAGUID vide car ses octets ne sont pas imprimables. Le log de l’enr\u00f4lement le donne en hexad\u00e9cimal, avec le clientDataJSON d\u00e9cod\u00e9 et l’origine http:\/\/localhost:8090 que le navigateur a lui-m\u00eame inscrite:<\/p>\n
awk '{sub(\/&.*\/, \"\", $7); print $4, $6, $7, $9}' \/var\/log\/apache2\/access.log | grep server.php\ngrep processCreate \/var\/log\/apache2\/error.log | tail -1 | grep -o '{.*}' | jq .<\/code><\/pre>\nLa c\u00e9r\u00e9monie d’enregistrement vue depuis le log du serveur<\/figcaption><\/figure>\nAuthentification<\/h3>\n Le bouton \u00ab check registration \u00bb encha\u00eene fn=getGetArgs puis fn=processGet. Nous le lan\u00e7ons deux fois. Le journal d’acc\u00e8s d’Apache, r\u00e9duit \u00e0 l’heure, \u00e0 la m\u00e9thode, \u00e0 la fonction appel\u00e9e et au code retour, montre les deux c\u00e9r\u00e9monies:<\/p>\nEnregistrement puis deux authentifications dans le journal d’acc\u00e8s<\/figcaption><\/figure>\nLe log du premier processGet contient un clientDataJSON de type webauthn.get avec un nouveau challenge, le compteur, et l’authenticatorData encod\u00e9e en base64url:<\/p>\nLa premi\u00e8re authentification vue depuis le log du serveur<\/figcaption><\/figure>\nLe script de d\u00e9codage vu plus haut, appliqu\u00e9 au clientDataJSON et \u00e0 l’authenticatorData de cette connexion, donne:<\/p>\n
$ python3 webauthn_decode.py eyJ0eXBlIjoid2ViYXV0aG4uZ2V0IiwiY2hhbGxl... SZYN5YgOjGh0NBcPZHZgW4_krrmihjLHmVzzuoMdl2MFAAAAAg\nclientDataJSON.type : webauthn.get\nclientDataJSON.challenge : zKiu6qgkfyN8OA2t7ggfHfaik9AN8i0BgzYcqFSiUA8\nclientDataJSON.origin : http:\/\/localhost:8090\nclientDataJSON.crossOrigin : False\nrpIdHash : 49960de5880e8c68... (DIFFERENT pour login.microsoft.com)\nflags : 0x05 -> UP UV\nsignCount : 2<\/code><\/pre>\n-> le rpIdHash est le SHA-256 de \u00ab localhost \u00bb (49960de5880e8c68\u2026). Le script, \u00e9crit pour Entra ID, le compare \u00e0 login.microsoft.com et le trouve diff\u00e9rent: c’est la liaison au domaine d\u00e9crite au d\u00e9but de l’article, vue depuis une autre Relying Party.<\/p>\n
-> flags 0x05 (UP UV) et compteur \u00e0 2, puis \u00e0 3 lors de la seconde connexion: l’authentificateur virtuel incr\u00e9mente son compteur \u00e0 chaque signature.<\/p>\n
Lors d’un premier passage, Chrome avait ajout\u00e9 au clientDataJSON une cl\u00e9 other_keys_can_be_added_here, dont la valeur demande de ne pas comparer cet objet \u00e0 un mod\u00e8le. Le serveur doit donc lire ce JSON champ par champ, comme le fait processGet, et jamais le comparer \u00e0 une cha\u00eene attendue.<\/p>\n
Attention, la d\u00e9mo appelle processGet avec null \u00e0 la place du compteur pr\u00e9c\u00e9dent et ne met jamais \u00e0 jour celui qu’elle a stock\u00e9: le contr\u00f4le de clonage d\u00e9crit plus haut n’y est pas actif. Dans une vraie application, il faut enregistrer apr\u00e8s chaque connexion la valeur renvoy\u00e9e par getSignatureCounter() et la passer au processGet suivant, la biblioth\u00e8que levant alors l’exception \u00ab signature counter not valid \u00bb si le compteur n’augmente pas. La d\u00e9mo garde aussi ses enregistrements dans la session PHP. En production ils vont en base, rattach\u00e9s au compte, et les premi\u00e8res \u00e9tapes de la v\u00e9rification (le credential ID fait-il partie de ceux attendus, le userHandle correspond-il au compte?) restent \u00e0 notre charge: les commentaires du code de la biblioth\u00e8que les laissent explicitement \u00e0 l’impl\u00e9mentation.<\/p>\n","protected":false},"excerpt":{"rendered":"
C\u00e9r\u00e9monie WebAuthn dans Entra ID: challenge, credential ID, AAGUID, attestation et compteur d\u00e9cod\u00e9s en Python, puis le lien avec les restrictions de cl\u00e9s.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[20,3,37],"tags":[81,82,80,78,77,83,79],"class_list":["post-1253","post","type-post","status-publish","format-standard","hentry","category-azure-ad","category-protocoles","category-securite","tag-aaguid","tag-attestation","tag-entra-id","tag-fido2","tag-passkey","tag-phishing","tag-webauthn"],"yoast_head":"\n
Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail - R\u00e9mi VERNIER<\/title>\n<meta name=\"description\" content=\"C\u00e9r\u00e9monie WebAuthn dans Entra ID: challenge, credential ID, AAGUID, attestation et compteur d\u00e9cod\u00e9s en Python, puis le lien avec les restrictions de cl\u00e9s.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail - R\u00e9mi VERNIER\" \/>\n<meta property=\"og:description\" content=\"C\u00e9r\u00e9monie WebAuthn dans Entra ID: challenge, credential ID, AAGUID, attestation et compteur d\u00e9cod\u00e9s en Python, puis le lien avec les restrictions de cl\u00e9s.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/\" \/>\n<meta property=\"og:site_name\" content=\"R\u00e9mi VERNIER\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-28T10:29:59+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-28T12:28:28+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/remivernier.com\/wp-content\/uploads\/2026\/10\/webauthn-php-1-extensions.png\" \/>\n<meta name=\"author\" content=\"R\u00e9mi\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"R\u00e9mi\" \/>\n\t<meta name=\"twitter:label2\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data2\" content=\"18 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/\"},\"author\":{\"name\":\"R\u00e9mi\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"headline\":\"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail\",\"datePublished\":\"2026-10-28T10:29:59+00:00\",\"dateModified\":\"2026-10-28T12:28:28+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/\"},\"wordCount\":2976,\"commentCount\":0,\"image\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/remivernier.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/webauthn-php-1-extensions.png\",\"keywords\":[\"aaguid\",\"attestation\",\"entra id\",\"fido2\",\"passkey\",\"phishing\",\"webauthn\"],\"articleSection\":[\"Azure AD\",\"Protocoles\",\"S\u00e9curit\u00e9\"],\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/\",\"url\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/\",\"name\":\"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail - R\u00e9mi VERNIER\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/remivernier.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/webauthn-php-1-extensions.png\",\"datePublished\":\"2026-10-28T10:29:59+00:00\",\"dateModified\":\"2026-10-28T12:28:28+00:00\",\"author\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"description\":\"C\u00e9r\u00e9monie WebAuthn dans Entra ID: challenge, credential ID, AAGUID, attestation et compteur d\u00e9cod\u00e9s en Python, puis le lien avec les restrictions de cl\u00e9s.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/#breadcrumb\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/#primaryimage\",\"url\":\"https:\\\/\\\/remivernier.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/webauthn-php-1-extensions.png\",\"contentUrl\":\"https:\\\/\\\/remivernier.com\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/webauthn-php-1-extensions.png\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/passkeys-fido2-entra-id-ceremonie-webauthn\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\\\/\\\/remivernier.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\",\"url\":\"https:\\\/\\\/remivernier.com\\\/\",\"name\":\"R\u00e9mi VERNIER\",\"description\":\"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure & co...\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/remivernier.com\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\",\"name\":\"R\u00e9mi\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"caption\":\"R\u00e9mi\"},\"sameAs\":[\"http:\\\/\\\/www.linkedin.com\\\/in\\\/remi-vernier\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail - R\u00e9mi VERNIER","description":"C\u00e9r\u00e9monie WebAuthn dans Entra ID: challenge, credential ID, AAGUID, attestation et compteur d\u00e9cod\u00e9s en Python, puis le lien avec les restrictions de cl\u00e9s.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/","og_locale":"fr_FR","og_type":"article","og_title":"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail - R\u00e9mi VERNIER","og_description":"C\u00e9r\u00e9monie WebAuthn dans Entra ID: challenge, credential ID, AAGUID, attestation et compteur d\u00e9cod\u00e9s en Python, puis le lien avec les restrictions de cl\u00e9s.","og_url":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/","og_site_name":"R\u00e9mi VERNIER","article_published_time":"2026-10-28T10:29:59+00:00","article_modified_time":"2026-10-28T12:28:28+00:00","og_image":[{"url":"https:\/\/remivernier.com\/wp-content\/uploads\/2026\/10\/webauthn-php-1-extensions.png","type":"","width":"","height":""}],"author":"R\u00e9mi","twitter_card":"summary_large_image","twitter_misc":{"\u00c9crit par":"R\u00e9mi","Dur\u00e9e de lecture estim\u00e9e":"18 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/#article","isPartOf":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/"},"author":{"name":"R\u00e9mi","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"headline":"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail","datePublished":"2026-10-28T10:29:59+00:00","dateModified":"2026-10-28T12:28:28+00:00","mainEntityOfPage":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/"},"wordCount":2976,"commentCount":0,"image":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/#primaryimage"},"thumbnailUrl":"https:\/\/remivernier.com\/wp-content\/uploads\/2026\/10\/webauthn-php-1-extensions.png","keywords":["aaguid","attestation","entra id","fido2","passkey","phishing","webauthn"],"articleSection":["Azure AD","Protocoles","S\u00e9curit\u00e9"],"inLanguage":"fr-FR","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/","url":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/","name":"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail - R\u00e9mi VERNIER","isPartOf":{"@id":"https:\/\/remivernier.com\/#website"},"primaryImageOfPage":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/#primaryimage"},"image":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/#primaryimage"},"thumbnailUrl":"https:\/\/remivernier.com\/wp-content\/uploads\/2026\/10\/webauthn-php-1-extensions.png","datePublished":"2026-10-28T10:29:59+00:00","dateModified":"2026-10-28T12:28:28+00:00","author":{"@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"description":"C\u00e9r\u00e9monie WebAuthn dans Entra ID: challenge, credential ID, AAGUID, attestation et compteur d\u00e9cod\u00e9s en Python, puis le lien avec les restrictions de cl\u00e9s.","breadcrumb":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/"]}]},{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/#primaryimage","url":"https:\/\/remivernier.com\/wp-content\/uploads\/2026\/10\/webauthn-php-1-extensions.png","contentUrl":"https:\/\/remivernier.com\/wp-content\/uploads\/2026\/10\/webauthn-php-1-extensions.png"},{"@type":"BreadcrumbList","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/passkeys-fido2-entra-id-ceremonie-webauthn\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/remivernier.com\/"},{"@type":"ListItem","position":2,"name":"Passkeys FIDO2 dans Entra ID: c\u00e9r\u00e9monie WebAuthn en d\u00e9tail"}]},{"@type":"WebSite","@id":"https:\/\/remivernier.com\/#website","url":"https:\/\/remivernier.com\/","name":"R\u00e9mi VERNIER","description":"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure & co...","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/remivernier.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Person","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906","name":"R\u00e9mi","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","caption":"R\u00e9mi"},"sameAs":["http:\/\/www.linkedin.com\/in\/remi-vernier"]}]}},"_links":{"self":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1253","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/comments?post=1253"}],"version-history":[{"count":3,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1253\/revisions"}],"predecessor-version":[{"id":1264,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1253\/revisions\/1264"}],"wp:attachment":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/media?parent=1253"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/categories?post=1253"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/tags?post=1253"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}