Web認証：
公開鍵資格情報にアクセスするための API
レベル 3

もし options.mediation を conditional に設定すると、Relying Parties は ユーザーが既に資格情報の作成に同意している場合に目立つモーダル UI を伴わずに資格情報を登録したいことを示すことができます。 Relying Party はまず getClientCapabilities() を使用して、client が conditionalCreate 能力をサポートしているか確認するべきです。そうしないと、この機能が利用できない場合にユーザーに見えるエラーが発生する恐れがあります。 クライアントは、options.mediation が conditional に設定されている場合、requireUserPresence と requireUserVerification の両方を 明示的に儀式中に実行されない限り FALSE に設定しなければなりません。

任意の navigator.credentials.create() 操作は AbortController を利用して中止できます。詳細な手順については DOM § 3.3 Using AbortController and AbortSignal objects in APIs を参照してください。

この internal method は 3 つの引数を受け取ります:

origin

この引数は呼び出し create() 実装によって決定される、relevant settings object の origin です。

options

この引数は CredentialCreationOptions オブジェクトで、options.publicKey メンバーが作成される PublicKeyCredentialCreationOptions オブジェクトを含み、作成される public key credential の望ましい属性を指定します。

sameOriginWithAncestors

この引数は Boolean 値で、呼び出し元の environment settings object が same-origin with its ancestors の場合に限り true です。 呼び出し元がクロスオリジンの場合は false です。

注：この internal method の呼び出しは、 permissions policy により許可されていることを示します。permissions policy は [CREDENTIAL-MANAGEMENT-1] レベルで評価されます。詳細は § 5.9 Permissions Policy integration を参照してください。

注： このアルゴリズムは同期的です： Promise の解決/拒否は navigator.credentials.create() により扱われます。

このアルゴリズムで使用されるすべての BufferSource オブジェクトは、同期の問題を避けるためにアルゴリズム開始時にスナップショットされなければなりません。実装は get a copy of the bytes held by the buffer source を行い、そのコピーをアルゴリズムの該当部分で使用することを推奨します。

このメソッドが呼び出されたとき、ユーザーエージェントは次のアルゴリズムを実行しなければなりません:

1. アサート: options.publicKey が存在すること。

2. もし sameOriginWithAncestors が false の場合:

   1. もし options.mediation が存在し、その値が conditional のとき:

      1. "NotAllowedError" DOMException をスローする。

   2. もし呼び出し create() 実装によって決まる relevant global object が transient activation を持っていないとき:

      1. "NotAllowedError" DOMException をスローする。

   3. relevant global object のユーザーアクティベーションを消費する。

   4. もし資格情報を作成しようとしている origin が、relevant global object の top-level origin と異なる場合（つまり、ユーザーがアドレスバーで見ているオリジンと異なる場合）、 client はこの事実をユーザーに明示すべきです。

3. pkOptions を options.publicKey の値とする。

4. もし pkOptions.timeout が存在する場合、その値が client によって定義される合理的な範囲内にあるか確認し、範囲外であれば最も近い範囲内の値に修正します。調整した値をタイマー lifetimeTimer に設定します。もし pkOptions.timeout が存在しない場合は、lifetimeTimer をクライアント固有のデフォルトに設定します。

   合理的な範囲とデフォルトの決定については、WebAuthn 儀式タイムアウトの推奨範囲とデフォルト を参照してください。

   クライアントは、特別な支援を要するユーザーに配慮してタイムアウトに関する認知ガイドラインを考慮に入れるべきです。

5. もし pkOptions.user.id の長さが 1 ～ 64 バイト（両端含む）でない場合は TypeError をスローします。

6. callerOrigin を origin とします。もし callerOrigin が opaque origin であれば、"NotAllowedError" DOMException をスローします。

7. effectiveDomain を callerOrigin の effective domain とします。 もし effective domain が 有効なドメイン でなければ、"SecurityError" DOMException を投げます。

   注：effective domain は host を解決することがあり、その表現は domain、ipv4 アドレス、ipv6 アドレス、opaque host、empty host など様々です。ここでは host の domain 形式のみを許可します。これは簡便化のため、また PKI ベースのセキュリティと直接 IP アドレス識別の併用に関する諸問題を考慮したものです。

8. もし pkOptions.rp.id が存在する場合:

   存在する場合

   もし pkOptions.rp.id が effectiveDomain の registrable domain suffix でないか等しくない場合、かつクライアントが

   related origin requests をサポートする場合

   1. rpIdRequested を pkOptions.rp.id の値とする。

   2. callerOrigin と rpIdRequested を引数として related origins validation procedure を実行します。結果が false なら "SecurityError" DOMException をスローします。

   related origin requests をサポートしない場合

   "SecurityError" DOMException をスローします。

   存在しない場合

   pkOptions.rp.id を effectiveDomain に設定します。

   注： pkOptions.rp.id は呼び出し元の RP ID を表します。RP ID は、呼び出し元が create() を呼ぶ際に明示的に設定していない限り、呼び出し元の origin の effective domain がデフォルトになります。

9. credTypesAndPubKeyAlgs を、要素が PublicKeyCredentialType と COSEAlgorithmIdentifier のペアである新しい list とします。

10. もし pkOptions.pubKeyCredParams の size

    が 0 の場合

    Append を用いて、以下の PublicKeyCredentialType と COSEAlgorithmIdentifier のペアを credTypesAndPubKeyAlgs に追加します:

    • public-key と -7 ("ES256").

    • public-key と -257 ("RS256").

    が 0 でない場合

    For each を用いて、pkOptions.pubKeyCredParams の各 current について処理を行います:

    1. もし current.type がこの実装でサポートされている PublicKeyCredentialType を含まない場合は、continue します。

    2. alg を current.alg とします。

    3. Append を用いて、current.type と alg のペアを credTypesAndPubKeyAlgs に追加します。

    もし credTypesAndPubKeyAlgs が 空 であれば、 "NotSupportedError" DOMException をスローします。

11. clientExtensions を新しい map、authenticatorExtensions を新しい map とします。

12. もし pkOptions.extensions が存在するなら、for each を用いて extensionId → clientExtensionInput を pkOptions.extensions から取り出し、次の処理を行います:

    1. もし extensionId がこの client platform でサポートされていないか、または registration extension でない場合、continue します。

    2. Set を用いて clientExtensions[extensionId] に clientExtensionInput を設定します。

    3. もし extensionId が authenticator extension でないなら、continue します。

    4. authenticatorExtensionInput を、extensionId の client extension processing アルゴリズムを clientExtensionInput に対して実行した結果（CBOR）とします。もしアルゴリズムがエラーを返した場合は、continue します。

    5. Set を用いて authenticatorExtensions[extensionId] に authenticatorExtensionInput を base64url encoding したものを設定します。

13. collectedClientData を以下のフィールドを持つ新しい CollectedClientData インスタンスとします:

    type

    文字列 "webauthn.create".

    challenge

    pkOptions.challenge の base64url エンコーディング。

    origin

    callerOrigin の シリアライズ。

    crossOrigin

    この sameOriginWithAncestors 引数の値の否定（inverse）です。

    topOrigin

    もしこのメソッドの sameOriginWithAncestors 引数が false なら、callerOrigin の top-level origin の シリアライズ。そうでなければ undefined。

14. clientDataJSON を、collectedClientData から構築された JSON 互換のシリアライズ とします。

15. clientDataHash を、clientDataJSON によって表される シリアライズされたクライアントデータのハッシュ とします。

16. もし options.signal が存在し、aborted なら、 options.signal の abort reason をスローします。

17. issuedRequests を新しい ordered set とします。

18. authenticators を、任意の時点でこのクライアントプラットフォーム上で利用可能な各 authenticator を識別するクライアントプラットフォーム固有ハンドルの集合を表す値とします。

    注：どのような条件で認証器が「利用可能」と見なされるかは意図的に指定されていません。これは認証器が USB 等でホットプラグされる、または NFC や Bluetooth で検出される、あるいはクライアントに恒久的に組み込まれているといった様々なメカニズムを表すためです。

19. もし options.mediation が conditional の場合:

    1. もしユーザーエージェントが最近認証を仲介していない、当該認証のオリジンが callerOrigin でない、またはユーザーがこの種の資格情報作成に同意していない場合、"NotAllowedError" DOMException をスローします。

       どの時点でユーザーエージェントが認証儀式が完了したと判断するかはユーザーエージェント次第です。その認証儀式は Web Authentication API 以外の手段で行われる場合もあります。

20. hints の値を考慮し、ユーザーエージェントは適宜ユーザーインターフェースを作成してください。

21. lifetimeTimer を開始します。

22. While lifetimeTimer が期限切れになっていない間、lifetimeTimer と authenticators の状態および応答に応じて、各 authenticator に対して次の操作を行います:

    もし lifetimeTimer が期限切れになったら、

    For each を用いて issuedRequests 内の各 authenticator に対して authenticatorCancel を呼び出し、remove します。

    ユーザーがユーザーエージェントの UI 操作でプロセスをキャンセルしたら、

    For each を用いて issuedRequests 内の各 authenticator に対して authenticatorCancel を呼び出し、remove します。その後 "NotAllowedError" DOMException をスローします。

    もし options.signal が存在し、aborted なら、

    For each を用いて issuedRequests 内の各 authenticator に対して authenticatorCancel を呼び出し、remove します。その後 options.signal の abort reason をスローします。

    もし authenticator がこの client device で利用可能になったら、

    注：これは authenticator が lifetimeTimer 開始時に既に利用可能であった場合も含みます。

    1. この authenticator は今や candidate authenticator です。

    2. もし pkOptions.authenticatorSelection が存在する場合:

       1. もし pkOptions.authenticatorSelection.authenticatorAttachment が存在し、その値がこの authenticator の authenticator attachment modality と等しくない場合、continue します。

       2. もし pkOptions.authenticatorSelection.residentKey が存在するなら:

          もし required に設定されている場合

          もしこの authenticator が client-side discoverable public key credential source を格納する能力を持たないなら、continue します。

          もし preferred または discouraged に設定されている場合

          影響はありません。

          存在しない場合

          もし pkOptions.authenticatorSelection.requireResidentKey がtrueに設定されていて、authenticatorがクライアント側探索可能公開鍵認証情報ソースを保存できない場合、続行してください。

       3. もし pkOptions.authenticatorSelection.userVerification が required に設定されており、この authenticator が user verification を実行する能力を持たない場合、continue します。

    3. requireResidentKey を クレデンシャル作成時の実効レジデントキー要件（Boolean 値）とし、以下のように定める：

       pkOptions.authenticatorSelection.residentKey

       が存在し、required に設定されている場合

       requireResidentKey を true とする。

       が存在し、preferred に設定されている場合

       authenticator

       クライアントサイドのクレデンシャル保存方式 をサポートしている場合

       requireResidentKey を true とする。

       クライアントサイドのクレデンシャル保存方式 をサポートしていない場合、あるいは クライアント が認証器の能力を判別できない場合

       requireResidentKey を false とする。

       が存在し、discouraged に設定されている場合

       requireResidentKey を false とする。

       が存在しない場合

       requireResidentKey を pkOptions.authenticatorSelection.requireResidentKey の値とする。

    4. userVerificationを認証情報作成のための実効ユーザー検証要件（Boolean値）として、以下のように定義する。もし pkOptions.authenticatorSelection.userVerification

       もし required に設定されている場合

       1. もし options.mediation が conditional に設定されており、儀式中に user verification を収集できない場合は、ConstraintError DOMException をスローします。

       2. userVerification を true にします。

       もし preferred に設定されている場合

       もしこの authenticator が user verification に対応していれば userVerification を true にし、 そうでなければ false にします。

       もし discouraged に設定されている場合

       userVerification を false にします。

    5. enterpriseAttestationPossible を Boolean 値とします。もし attestation が

       enterprise に設定されている場合

       もしユーザーエージェントが pkOptions.rp.id に対して enterprise attestation をサポートしたいなら enterpriseAttestationPossible を true にします。そうでなければ false にします。

       その他

       enterpriseAttestationPossible を false にします。

    6. attestationFormats を文字列のリストとし、その初期値を pkOptions.attestationFormats の値に設定します。

    7. もし pkOptions.attestation が

       none

       attestationFormats を単一要素リスト ["none"] に設定します。

    8. excludeCredentialDescriptorList を新しい list とします。

    9. For each credential descriptor C を pkOptions.excludeCredentials から読み取ります:

       1. もし C.transports が 空でない かつ 現在の authenticator が C.transports に記載されていないトランスポートで接続されている場合、クライアントは continue してもよいです。

          注：クライアントが continue を選択すると、C.transports のヒントが正確でない場合に、同じ authenticator に対して複数の資格情報が誤って登録される可能性があります。例えば、ソフトウェアアップデートにより保存されたトランスポートヒントが不正確になることがあります。

       2. それ以外の場合は Append を用いて C を excludeCredentialDescriptorList に追加します。

    10. authenticator 上で authenticatorMakeCredential を clientDataHash, pkOptions.rp, pkOptions.user, requireResidentKey, userVerification, credTypesAndPubKeyAlgs, excludeCredentialDescriptorList, enterpriseAttestationPossible, attestationFormats, および authenticatorExtensions をパラメータとして呼び出します。

    11. Append により authenticator を issuedRequests に追加します。

    もし authenticator がこの client device で利用できなくなったら、

    Remove を用いて issuedRequests からその authenticator を削除します。

    もし任意の authenticator がユーザーが操作をキャンセルしたというステータスを返したら、

    1. Remove を用いてその authenticator を issuedRequests から取り除きます。

    2. For each を用いて残りの issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。

       注：認証器は「ユーザーが操作全体をキャンセルした」という表示を返すことがあります。ユーザーエージェントがこの状態をユーザーにどのように示すかは未規定です。

    もし任意の authenticator が "InvalidStateError" と等価なエラーステータスを返したら、

    1. Remove を用いてその authenticator を issuedRequests から取り除きます。

    2. For each を用いて残りの issuedRequests 内の各 authenticator に対して authenticatorCancel を呼び出し、remove します。

    3. "InvalidStateError" DOMException をスローします。

    注：このエラーは、excludeCredentialDescriptorList が該当する認証器にバインドされた資格情報を識別し、ユーザーが作業に同意している場合にのみ認証器が返すため、別個に扱われます。この明示的な同意がある場合、本ケースが Relying Party に区別されることは許容されます。

    もし任意の authenticator が上記以外のエラーステータスを返したら、

    Remove を用いてその authenticator を issuedRequests から取り除きます。

    注：この場合は操作に対するユーザー同意を示すものではないため、エラーの詳細は Relying Party に対して秘匿され、潜在的に識別可能な情報の漏洩を防ぎます。詳細は § 14.5.1 Registration Ceremony Privacy を参照してください。

    もし任意の authenticator が成功を示したら、

    1. Remove を用いてその authenticator を issuedRequests から取り除きます。この認証器が今や selected authenticator です。

    2. credentialCreationData を、次の struct とし、その items は以下の通りとします:

       attestationObjectResult

       その値は成功した authenticatorMakeCredential 操作から返されたバイト列です。

       注：この値は § 6.5.4 Generating an Attestation Object で定義された attObj に相当します。

       clientDataJSONResult

       その値は clientDataJSON のバイト列です。

       attestationConveyancePreferenceOption

       その値は pkOptions.attestation の値です。

       clientExtensionResults

       その値は AuthenticationExtensionsClientOutputs オブジェクトで、各 extension identifier → client extension output エントリを含みます。これらのエントリは、pkOptions.extensions の各 client extension に対して各拡張の client extension processing アルゴリズムを実行して生成されます。

    3. constructCredentialAlg を、グローバルオブジェクト global を取り、以下の手順を実行するアルゴリズムとします:

       1. もし credentialCreationData.attestationConveyancePreferenceOption が次のいずれかの値であれば:

          none

          識別可能な情報を非識別化されたバージョンに置換します:

          1. もし aaguid が 16 バイトのゼロであり、credentialCreationData.attestationObjectResult.fmt が "packed" で、かつ attestationObjectResult に "x5c" が存在しない場合、これは self attestation が使用されているため、追加の処理は不要です。

          2. それ以外の場合:

             1. credentialCreationData.attestationObjectResult.fmt を "none" に設定し、credentialCreationData.attestationObjectResult.attStmt を空の CBOR マップに設定します。（参照: § 8.7 None Attestation Statement Format および § 6.5.4 Generating an Attestation Object）。

          indirect

          クライアントは aaguid と attestation statement をよりプライバシーに配慮した、または検証しやすいバージョン（例えば Anonymization CA を用いるなど）に置き換えてもよいです。

          direct または enterprise

          authenticator の AAGUID と attestation statement を改変せずに Relying Party に渡します。

       2. attestationObject を新しい ArrayBuffer として、global の %ArrayBuffer% を使って作成し、credentialCreationData.attestationObjectResult のバイト列を格納します。

       3. id を attestationObject.authData.attestedCredentialData.credentialId とします。

       4. pubKeyCred を、新しい PublicKeyCredential オブジェクトとして、グローバルを global に関連づけ、そのフィールドを以下のように設定します:

          [[identifier]]

          id

          authenticatorAttachment

          AuthenticatorAttachment 値を、この authenticator の現在の authenticator attachment modality に合わせて設定します。

          response

          global に関連づけられた新しい AuthenticatorAttestationResponse オブジェクトを作り、そのフィールドを以下のように設定します:

          clientDataJSON

          新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、credentialCreationData.clientDataJSONResult のバイトを格納します。

          attestationObject

          attestationObject

          [[transports]]

          その authenticator がサポートしていると考えられる 0 個以上のユニークな DOMString の列で、辞書式順（lexicographical order）になっています。値は AuthenticatorTransport のメンバーであるべきですが、client platforms は未知の値を無視しなければなりません。

          ユーザーエージェントがこの情報の開示を望まない場合、プライバシーを保護するために任意の列を代わりに返してもよいです。この列は依然として有効（辞書式順かつ重複なし）でなければなりません。例えば空列を用いることができます。いずれにせよ、その場合は Relying Party の挙動が最適でなくなるリスクをユーザーエージェントが負います。

          もしユーザーエージェントがトランスポート情報を持っていない場合、このフィールドは空列に設定するべきです。

          注：ある認証器がサポートするトランスポートをユーザーエージェントがどのように発見するかは本仕様の範囲外ですが、attestation certificate（例: [FIDO-Transports-Ext]）や CTAP2 のような認証器プロトコルのメタデータ、あるいは platform authenticator に関する特殊な知識に基づく場合があります。

          [[clientExtensionsResults]]

          新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、credentialCreationData.clientExtensionResults のバイト列を格納します。

       5. 返り値として pubKeyCred を返します。

    4. For each を用いて残りの issuedRequests 内の各 authenticator に対して authenticatorCancel を呼び出し、remove します。

    5. 返り値として constructCredentialAlg を返し、アルゴリズムを終了します。

23. "NotAllowedError" DOMException をスローします。

上記の過程において、ユーザーエージェントは認証器の選択および認可の過程でユーザーを誘導するための UI を表示することを推奨します。もし options.mediation が conditional に設定されている場合、事前にユーザーエージェントが同意を得ていない限り、目立つモーダル UI を表示すべきではありません。

この internal method は3つの引数を受け取ります:

origin

この引数は、呼び出し側の get() 実装によって決定される relevant settings object の origin です。すなわち CredentialsContainer の抽象操作 Request a Credential に対応します。

options

この引数は CredentialRequestOptions オブジェクトであり、options.publicKey メンバーが PublicKeyCredentialRequestOptions オブジェクトを含み、発見したい public key credential の望ましい属性を指定します。

sameOriginWithAncestors

この引数は Boolean 値で、呼び出し元の environment settings object が same-origin with its ancestors の場合に限り true です。呼び出し元がクロスオリジンの場合は false です。

Note: この internal method の呼び出しは、permissions policy により許可されていることを示します。permissions policy は [CREDENTIAL-MANAGEMENT-1] レベルで評価されます。詳細は § 5.9 Permissions Policy integration を参照してください。

Note: このアルゴリズムは同期的です： Promise の解決/拒否は navigator.credentials.get() によって扱われます。

このアルゴリズムで使用されるすべての BufferSource オブジェクトは、同期の問題を避けるためにアルゴリズム開始時にスナップショットされなければなりません。実装は get a copy of the bytes held by the buffer source を行い、そのコピーをアルゴリズムの該当部分で使用することを推奨します。

このメソッドが呼び出されたとき、ユーザーエージェントは次のアルゴリズムを実行しなければなりません:

1. アサート: options.publicKey が存在すること。

2. pkOptions を options.publicKey の値とする。

3. もし options.mediation が存在し、その値が conditional の場合:

   1. credentialIdFilter を pkOptions.allowCredentials の値とします。

   2. pkOptions.allowCredentials を empty に設定します。

      Note: これは non-discoverable credentials が conditional リクエスト中に使用されるのを防ぎます。

   3. lifetimeTimer を無限大に設定します。

      Note: lifetimeTimer を無限大に設定するのは、ユーザーが Document の存続期間全体を用いて input 要素などの "webauthn" タグ付きフォームコントロールと相互作用できるようにするためです。例えばユーザーがそのような入力フィールドをクリックしたときに、ユーザーエージェントは発見された資格情報のリストを表示してユーザーに選択させたり、「別の方法を試す」オプションを提供したりできます。

4. それ以外の場合:

   1. credentialIdFilter を空の list とします。

   2. もし pkOptions.timeout が存在するなら、その値が client によって定義される合理的な範囲内にあるか確認し、範囲外であれば最も近い範囲内の値に修正します。調整した値を lifetimeTimer に設定します。もし pkOptions.timeout が存在しない場合は、lifetimeTimer を client 固有のデフォルトに設定します。

      合理的な範囲とデフォルトの決定については、WebAuthn 儀式タイムアウトの推奨範囲とデフォルト を参照してください。

      ユーザーエージェントは、支援が必要なユーザー向けの認知ガイドラインを考慮してタイムアウトを決定するべきです。

5. callerOrigin を origin とします。もし callerOrigin が opaque origin であれば、"NotAllowedError" DOMException をスローします。

6. effectiveDomain を callerOrigin の effective domain とします。もし effectiveDomain が 有効なドメイン でなければ、"SecurityError" DOMException を投げます。

   Note: effective domain は host に解決されることがあり、その表現は domain、ipv4 アドレス、ipv6 アドレス、opaque host、empty host など様々です。ここでは host の domain 形式のみを許可します。これは簡便化のためであり、PKI ベースのセキュリティと直接 IP アドレス識別を組み合わせる際の諸問題を考慮したものです。

7. もし pkOptions.rpId が

   存在する場合

   もし pkOptions.rpId が effectiveDomain の registrable domain suffix でも等しい値でもない 場合、かつクライアントが

   related origin requests をサポートする場合

   1. rpIdRequested を pkOptions.rpId の値とします。

   2. related origins validation procedure を callerOrigin と rpIdRequested を引数に実行します。結果が false の場合、"SecurityError" DOMException をスローします。

   related origin requests をサポートしない場合

   "SecurityError" DOMException をスローします。

   存在しない場合

   pkOptions.rpId を effectiveDomain に設定します。

   Note: rpId は呼び出し元の RP ID を表します。RP ID は、呼び出し元が get() を呼ぶ際に明示的に設定していない限り、呼び出し元の origin の effective domain がデフォルトになります。

8. clientExtensions を新しい map とし、authenticatorExtensions を新しい map とします。

9. もし pkOptions.extensions が存在するなら、for each を用いて extensionId → clientExtensionInput を取り出し次の処理を行います:

   1. もし extensionId がこの client platform でサポートされていないか、または authentication extension でないなら、continue します。

   2. Set を用いて clientExtensions[extensionId] に clientExtensionInput を設定します。

   3. もし extensionId が authenticator extension でないなら、continue します。

   4. authenticatorExtensionInput を、extensionId の client extension processing アルゴリズムを clientExtensionInput に対して実行した結果（CBOR）とします。アルゴリズムがエラーを返した場合は continue します。

   5. Set を用いて authenticatorExtensions[extensionId] に base64url encoding した authenticatorExtensionInput を設定します。

10. collectedClientData を次のフィールドを持つ新しい CollectedClientData インスタンスとします:

    type

    文字列 "webauthn.get".

    challenge

    base64url encoding を用いた pkOptions.challenge の表現。

    origin

    callerOrigin の シリアライズ。

    crossOrigin

    このメソッドに渡された sameOriginWithAncestors 引数の値の否定（inverse）。

    topOrigin

    もしこのメソッドの sameOriginWithAncestors 引数が false であれば、callerOrigin の top-level origin の シリアライズ。そうでなければ undefined。

11. clientDataJSON を collectedClientData から構築した JSON 互換のシリアライズ とします。

12. clientDataHash を、clientDataJSON によって表される シリアライズされたクライアントデータのハッシュ とします。

13. もし options.signal が存在し、aborted であれば、options.signal の abort reason をスローします。

14. issuedRequests を新しい ordered set とします。

15. savedCredentialIds を新しい map とします。

16. authenticators を、任意の時点でクライアントプラットフォーム上で利用可能な各 authenticator を識別するクライアントプラットフォーム固有のハンドル集合を表す値とします。

    Note: どのような条件で認証器が「利用可能」と見なされるかは意図的に指定されていません。これは認証器が USB 経由でホットプラグされたり、NFC/Bluetooth で検出されたり、またはクライアントに恒久的に組み込まれている場合など、さまざまなメカニズムを表現するためです。

17. silentlyDiscoveredCredentials を新しい map とし、そのエントリは DiscoverableCredentialMetadata → authenticator の形とします。

18. hints の値を考慮して、ユーザーインターフェースを適宜作成してください。

19. lifetimeTimer を開始します。

20. While lifetimeTimer が期限切れになるまで、lifetimeTimer と authenticators の状態および応答に応じて各 authenticator に対して次の操作を行います:

    If lifetimeTimer が期限切れになったら,

    For each を用いて issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。

    If ユーザーが UI 操作でプロセスをキャンセルしたら,

    For each を用いて issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。その後 "NotAllowedError" DOMException をスローします。

    If options.signal が存在し aborted なら,

    For each を用いて issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。その後 options.signal の abort reason をスローします。

    もし options.mediation が conditional で、ユーザーが input または textarea のフォームコントロールと相互作用し、その autocomplete 属性の non-autofill credential type が "webauthn" である場合,

    Note: "webauthn" の autofill detail token は "Normal" や "Contact" タイプの最後の autofill detail token の直後に現れなければなりません。例えば:

    • "username webauthn"

    • "current-password webauthn"

    1. もし silentlyDiscoveredCredentials が empty でない場合:

       1. silentlyDiscoveredCredentials から DiscoverableCredentialMetadata をユーザーが任意で選択できるよう促します。プロンプトは各 DiscoverableCredentialMetadata の otherUI の値（例えば name や displayName）を表示するべきです。

          credentialMetadata を、ユーザーが選択した DiscoverableCredentialMetadata（存在する場合）とします。

       2. もしユーザーが credentialMetadata を選択した場合:

          1. publicKeyOptions を pkOptions の一時的コピーとします。

          2. authenticator を silentlyDiscoveredCredentials[credentialMetadata] の値とします。

          3. publicKeyOptions.allowCredentials を、単一要素の list に設定します。そのリストの要素は PublicKeyCredentialDescriptor で、その id 値は credentialMetadata の id の値に、また別の id 値は credentialMetadata の type の値に設定します。

          4. issuing a credential request to an authenticator アルゴリズムを authenticator, savedCredentialIds, publicKeyOptions, rpId, clientDataHash, authenticatorExtensions を引数として実行します。もしこれが false を返したら、continue します。

          5. Append を用いて authenticator を issuedRequests に追加します。

    もし options.mediation が conditional でない場合、かつ issuedRequests が空で、pkOptions.allowCredentials が空でなく、そこに含まれる任意の authenticator について利用可能なものがない場合,

    ユーザーに対して、該当する認証情報が見つからなかったことを示します。ユーザーがダイアログを確認した後、"NotAllowedError" のDOMExceptionをスローします。

    注: クライアントプラットフォームが どのauthenticatorも利用可能にならないことを判断できる一つの方法は、存在する transports メンバーや PublicKeyCredentialDescriptor の 項目 を pkOptions.allowCredentialsで調べることです（存在する場合）。 例えば、全ての PublicKeyCredentialDescriptor 項目が internal のみをリストしていて、全てのプラットフォーム型authenticatorが既に試されていたら、そのリクエストは満たせません。あるいは、すべての PublicKeyCredentialDescriptor 項目が、クライアントプラットフォームでサポートされていない transports をリストしている場合も考えられます。

    もし authenticator がこの client device 上で利用可能になったら,

    Note: これは authenticator が lifetimeTimer 開始時に既に利用可能だった場合も含みます。

    1. もし options.mediation が conditional で、その authenticator が silentCredentialDiscovery 操作をサポートするなら:

       1. collectedDiscoveredCredentialMetadata を authenticator に対して silentCredentialDiscovery を呼び出した結果とします（rpId をパラメータとして渡します）。

       2. For each を用いて collectedDiscoveredCredentialMetadata の各 credentialMetadata について次を行います:

          1. もし credentialIdFilter が空であるか、または credentialIdFilter に id がありその値が credentialMetadata の id の値と一致するなら、set を用いて silentlyDiscoveredCredentials[credentialMetadata] に authenticator を設定します。

             Note: 要求は特定の UI コンテキストでユーザーが資格情報を選択した際にこの認証器に対して発行されます（詳細は ここ を参照）。

    2. それ以外の場合:

       1. issuing a credential request to an authenticator アルゴリズムを authenticator, savedCredentialIds, pkOptions, rpId, clientDataHash, authenticatorExtensions で実行します。もしこれが false を返したら continue します。

       2. Append を用いて authenticator を issuedRequests に追加します。

    もし authenticator がこの client device で利用不可になったら,

    Remove を用いて issuedRequests からその authenticator を削除します。

    もし任意の authenticator がユーザーが操作をキャンセルしたというステータスを返したら,

    1. Remove を用いてその authenticator を issuedRequests から取り除きます。

    2. For each を用いて残りの issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。

       Note: Authenticators は「ユーザーが操作全体をキャンセルした」という表示を返すことがあります。ユーザーエージェントがこの状態をユーザーにどのように示すかは未規定です。

    もし任意の authenticator がエラーステータスを返したら,

    Remove を用いてその authenticator を issuedRequests から取り除きます。

    もし任意の authenticator が成功を示したら,

    1. Remove を用いてその authenticator を issuedRequests から取り除きます。

    2. assertionCreationData を次の項目を持つ struct とします:

       credentialIdResult

       もし savedCredentialIds[authenticator] が存在するなら、credentialIdResult の値を savedCredentialIds[authenticator] のバイト列に設定します。そうでなければ、成功した authenticatorGetAssertion 操作から返された credential ID のバイト列を credentialIdResult の値として設定します。

       clientDataJSONResult

       その値は clientDataJSON のバイト列です。

       authenticatorDataResult

       その値は成功した authenticator により返された authenticator data のバイト列です。

       signatureResult

       その値は authenticator によって返された署名値のバイト列です。

       userHandleResult

       もし authenticator が user handle を返した場合、userHandleResult に返された user handle のバイト列を設定します。そうでなければ userHandleResult を null に設定します。

       clientExtensionResults

       その値は AuthenticationExtensionsClientOutputs オブジェクトで、各 extension identifier → client extension output のエントリを含みます。これらのエントリは pkOptions.extensions 内の各クライアント拡張に対して各拡張の client extension processing アルゴリズムを実行して生成されます。

    3. もし credentialIdFilter が空でなく、かつ credentialIdFilter に id が含まれており、その値が credentialIdResult の値と一致しない場合は continue します。

    4. もし credentialIdFilter が空で、かつ userHandleResult が null であれば、continue します。

    5. settings を current settings object とし、global を settings の global object とします。

    6. pubKeyCred を、global に関連付けられた新しい PublicKeyCredential オブジェクトとし、そのフィールドを以下のように設定します:

       [[identifier]]

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.credentialIdResult のバイト列を格納します。

       authenticatorAttachment

       AuthenticatorAttachment の値を、この authenticator の現在の authenticator attachment modality に合わせて設定します。

       response

       新しい AuthenticatorAssertionResponse オブジェクトを global に関連付けて作成し、そのフィールドを以下のように設定します:

       clientDataJSON

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.clientDataJSONResult のバイト列を格納します。

       authenticatorData

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.authenticatorDataResult のバイト列を格納します。

       signature

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.signatureResult のバイト列を格納します。

       userHandle

       もし assertionCreationData.userHandleResult が null であれば、このフィールドを null に設定します。そうでなければ新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.userHandleResult のバイト列を格納します。

       [[clientExtensionsResults]]

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.clientExtensionResults のバイト列を格納します。

    7. For each を用いて残りの issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。

    8. 返り値として pubKeyCred を返し、アルゴリズムを終了します。

21. "NotAllowedError" DOMException をスローします。

[[Store]](credential, sameOriginWithAncestors) メソッドは Web Authentication の PublicKeyCredential 型ではサポートされていないため、[[Store]](credential, sameOriginWithAncestors) internal method の実装は常にエラーを投げます。

Note: 本アルゴリズムは同期的です；Promise の解決/拒否は navigator.credentials.store() により扱われます。

この internal method は 2 つの引数を受け取ります:

credential

この引数は PublicKeyCredential オブジェクトです。

sameOriginWithAncestors

この引数は Boolean 値で、呼び出し元の environment settings object が same-origin with its ancestors の場合に限り true です。

このメソッドが呼び出されたとき、ユーザーエージェントは次のアルゴリズムを実行しなければなりません:

1. "NotSupportedError" DOMException をスローします。

WebAuthn Relying Parties はこのメソッドを使用して、user-verifying platform authenticator を使って新しい資格情報を作成できるかを判定します。呼び出されると、client は クライアントプラットフォーム 固有の手順を用いて利用可能な user-verifying platform authenticator を探索します。もしいずれかが発見されれば、Promise は true で解決されます。発見されなければ false で解決されます。結果に基づき、Relying Party はユーザーに対して資格情報の作成を案内する追加の処理を行えます。

このメソッドは引数を取らず、Boolean 値を返します。

partial interface PublicKeyCredential {
    static Promise<boolean> isUserVerifyingPlatformAuthenticatorAvailable();
};

Note: このメソッドを、browsing context から呼び出し、その Web Authentication API が allowed to use のアルゴリズムにより "disabled" と評価される（つまり permissions policy によって無効化されている）場合、Promise は名前が "NotAllowedError" の DOMException で拒否されます。詳細は § 5.9 Permissions Policy integration を参照してください。

WebAuthn Relying Parties はこのメソッドを使用して、特定のワークフローやユーザー体験を提供するための限られたセットの client 能力の可用性を判定します。例えば、ある RP はクライアント上でのみ hybrid トランスポートが利用可能な場合、あるいは conditional 仲介が利用できない場合にサインインボタンを表示する、といったことが可能になります（代わりにユーザー名フィールドを表示するよりよい選択など）。

呼び出されると、client は クライアントプラットフォーム 固有の手順を用いてこれらの能力の可用性を探索します。

このメソッドは引数を取らず、能力キーを Boolean 値にマッピングしたレコードを返します。

partial interface PublicKeyCredential {
    static Promise<PublicKeyCredentialClientCapabilities> getClientCapabilities();
};

typedef record<DOMString, boolean> PublicKeyCredentialClientCapabilities;

Keys は PublicKeyCredentialClientCapabilities で昇順の辞書式順にソートされている必要があります。キーの集合には ClientCapability 列挙型の列挙値を含めるべきですが、クライアントは必要に応じてキーを省略できます（詳細は § 14.5.4 Disclosing Client Capabilities を参照）。

ある能力の値が true の場合、その機能は現在クライアントによってサポートされていることが知られます。値が false の場合、その機能は現在クライアントでサポートされていないことが知られます。ある能力がキーとして存在しない場合、その機能の可用性は不明です。

キーの集合には、クライアントが実装している各 拡張 に対しても、接頭辞 "extension:" を拡張識別子に付けた文字列をキーとして含めるべきです。実装された各拡張の関連値は true とすることが推奨されます。もし getClientCapabilities() がクライアントでサポートされているが、ある拡張が true にマップされていない場合、Relying Party はその拡張に対するクライアント側の処理が行われない可能性や、拡張が認証器に転送されない可能性を想定してよいです。

注: たとえ拡張が true にマップされていても、特定の操作で使用する認証器がその拡張をサポートしていない場合があるため、Relying Parties は認証器側の処理が必ず行われると仮定してはなりません。

Note: このメソッドを、browsing context から呼び出し、その Web Authentication API が disabled と評価される場合、Promise は名前が "NotAllowedError" の DOMException で拒否されます。詳細は § 5.9 Permissions Policy integration を参照してください。

WebAuthn Relying Parties はこのメソッドを使用して、JSON 型 表現の navigator.credentials.create() のオプションを、PublicKeyCredentialCreationOptions に変換します。

呼び出されると、client は options 引数を、新しいが同一構造の PublicKeyCredentialCreationOptions オブジェクトに変換する必要があります。変換の際、base64url エンコーディング を用いて、JSON の DOMString 属性のうち、PublicKeyCredentialCreationOptionsJSON 内で buffer source 型 に相当するものをデコードします。この変換は client extension inputs についてもクライアント側で処理される場合に適用される必要があります。

AuthenticationExtensionsClientInputsJSON には、IANA の "WebAuthn Extension Identifiers" レジストリに登録された拡張が含まれていてもよく（[IANA-WebAuthn-Registries]）、それが本仕様の § 9 WebAuthn Extensions で定義されていない場合でも構いません。

もし client が JSON 表現の解析に問題を検出した場合、クライアントは不適合な値の説明を付した "EncodingError" DOMException をスローし、操作を終了しなければなりません。

partial interface PublicKeyCredential {
    static PublicKeyCredentialCreationOptions parseCreationOptionsFromJSON(PublicKeyCredentialCreationOptionsJSON options);
};

dictionary PublicKeyCredentialCreationOptionsJSON {
    required PublicKeyCredentialRpEntity                    rp;
    required PublicKeyCredentialUserEntityJSON              user;
    required Base64URLString                                challenge;
    required sequence<PublicKeyCredentialParameters>        pubKeyCredParams;
    unsigned long                                           timeout;
    sequence<PublicKeyCredentialDescriptorJSON>             excludeCredentials = [];
    AuthenticatorSelectionCriteria                          authenticatorSelection;
    sequence<DOMString>                                     hints = [];
    DOMString                                               attestation = "none";
    sequence<DOMString>                                     attestationFormats = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

dictionary PublicKeyCredentialUserEntityJSON {
    required Base64URLString        id;
    required DOMString              name;
    required DOMString              displayName;
};

dictionary PublicKeyCredentialDescriptorJSON {
    required DOMString              type;
    required Base64URLString        id;
    sequence<DOMString>             transports;
};

dictionary AuthenticationExtensionsClientInputsJSON {
};

WebAuthn Relying Parties はこのメソッドを使用して、JSON 型 表現の navigator.credentials.get() オプションを PublicKeyCredentialRequestOptions に変換します。

呼び出されると、client は options 引数を、新しいが同一構造の PublicKeyCredentialRequestOptions オブジェクトに変換する必要があります。変換では base64url エンコーディング を用いて、DOMString 属性のうち PublicKeyCredentialRequestOptionsJSON 内で buffer source 型 に対応するものをデコードします。この変換はクライアントが処理する任意の client extension inputs に対しても適用されなければなりません。

AuthenticationExtensionsClientInputsJSON は、IANA の "WebAuthn Extension Identifiers" レジストリに登録された拡張を含んでもよく（[IANA-WebAuthn-Registries]）、それが本仕様の § 9 WebAuthn Extensions で定義されていない場合でも構いません。

もし client が JSON 表現の解析に問題を検出した場合、クライアントは不適合な値の説明を付した "EncodingError" DOMException をスローして操作を終了しなければなりません。

partial interface PublicKeyCredential {
    static PublicKeyCredentialRequestOptions parseRequestOptionsFromJSON(PublicKeyCredentialRequestOptionsJSON options);
};

dictionary PublicKeyCredentialRequestOptionsJSON {
    required Base64URLString                                challenge;
    unsigned long                                           timeout;
    DOMString                                               rpId;
    sequence<PublicKeyCredentialDescriptorJSON>             allowCredentials = [];
    DOMString                                               userVerification = "preferred";
    sequence<DOMString>                                     hints = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

clientDataJSON, 型は ArrayBuffer、読み取り専用

この属性は、JSON互換のシリアライズされたクライアントデータを含み、そのハッシュはクライアントがcreate() またはget() の呼び出しで認証器に渡されます（つまり、クライアントデータ自体は認証器に送信されません）。

clientDataJSON

この属性はAuthenticatorResponse から継承されたもので、認証器を生成するためにクライアントが認証器に渡したクライアントデータのJSON互換シリアライズを含みます（詳細は § 6.5 証明 を参照）。正確なJSONシリアライズは保持される必要があり、シリアライズされたクライアントデータのハッシュがその上で計算されているためです。

attestationObject, 型は ArrayBuffer、読み取り専用

この属性にはアテステーションオブジェクトが含まれており、これはクライアントからは不透明であり、暗号技術によって改ざんから保護されています。アテステーションオブジェクトには、認証器データとアテステーションステートメントの両方が含まれます。 前者には AAGUID、一意な認証情報ID、そして認証情報公開鍵が含まれています。 アテステーションステートメントの内容は、 使用されるアテステーションステートメントフォーマットによって認証器が決定します。 また、Relying Partyのサーバーが アテステーションステートメントを検証するため及び認証器データとクライアントデータのJSON互換シリアル化を復号・検証するために必要な追加情報も含まれます。 詳細は§ 6.5 アテステーション、§ 6.5.4 アテステーションオブジェクトの生成、 図6を参照してください。

getTransports()

この操作は[[transports]]の値を返します。

getAuthenticatorData()

この操作はattestationObjectに含まれるauthenticator dataを返します。詳しくは § 5.2.1.1 認証情報データへ簡単にアクセスする方法 を参照してください。

getPublicKey()

この操作は新しいクレデンシャルのDER形式のSubjectPublicKeyInfoを返します。利用できない場合はnullを返します。詳しくは § 5.2.1.1 認証情報データへ簡単にアクセスする方法 を参照してください。

getPublicKeyAlgorithm()

この操作は新しいクレデンシャルのCOSEAlgorithmIdentifierを返します。詳しくは § 5.2.1.1 認証情報データへ簡単にアクセスする方法 を参照してください。

[[transports]]

この内部スロットには、辞書順に並んだゼロ個以上の一意なDOMStringの列が含まれます。これらの値は認証器がサポートしていると考えられるトランスポートであり、情報が利用できない場合は空の列になります。値は AuthenticatorTransport のメンバーであるべきですが、リライング・パーティは未知の値を受け入れて保存するべきです。

clientDataJSON

この属性は AuthenticatorResponse から継承され、認証器がこのアサーションを生成するためにクライアントが認証器に渡したクライアントデータのJSON互換シリアライズを含みます（詳細は § 5.8.1 WebAuthn署名で使用されるクライアントデータ（辞書 CollectedClientData） を参照）。正確なJSONシリアライズは保持されなければならず、シリアライズされたクライアントデータのハッシュがその上で計算されているためです。

authenticatorData, 型は ArrayBuffer、読み取り専用

この属性は認証器から返されたauthenticator dataを含みます。詳しくは § 6.1 Authenticator Data を参照してください。

signature, 型は ArrayBuffer、読み取り専用

この属性は認証器から返された生の署名を含みます。詳しくは § 6.3.3 The authenticatorGetAssertion Operation を参照してください。

userHandle, 型は ArrayBuffer、読み取り専用、nullable

この属性は認証器から返されたユーザーハンドルを含むか、認証器がユーザーハンドルを返さなかった場合は null になります。詳しくは § 6.3.3 The authenticatorGetAssertion Operation を参照してください。allowCredentials オプションが認証式で空の場合、認証器は常にユーザーハンドルを返す必要があり、そうでなければ返してもよい (MAY) です。

type, 型は DOMString

このメンバは作成されるクレデンシャルの種類を指定します。値は PublicKeyCredentialType のメンバーであるべきですが、クライアントプラットフォームは未知の値を無視する必要があり、未知の PublicKeyCredentialParameters を type が未知の場合は無視します。

alg, 型は COSEAlgorithmIdentifier

このメンバは新しく生成されるクレデンシャルで使用される暗号署名アルゴリズム、すなわち生成される公開鍵ペアのタイプ（例：RSA や 楕円曲線）を指定します。

注：後者のメンバ名を "algorithm" と綴らずに "alg" としているのは、認証器へのメッセージにシリアライズされる際に低帯域のリンクを通る可能性があるためです。

rp, 型は PublicKeyCredentialRpEntity

このメンバは要求を行っているリライング・パーティの名前と識別子を含みます。

その値のname メンバは必須です。詳細は § 5.4.1 Public Key Entity Description (辞書 PublicKeyCredentialEntity) を参照してください。

その値のid メンバは、クレデンシャルがスコープされるべき RP ID を指定します。省略された場合、その値はCredentialsContainer オブジェクトの relevant settings object の origin の effective domain になります。詳細は § 5.4.2 Relying Party Parameters for Credential Generation (辞書 PublicKeyCredentialRpEntity) を参照してください。

user, 型は PublicKeyCredentialUserEntity

このメンバは登録を行うユーザーアカウントの名前と識別子を含みます。

その値のname、 displayName および id のメンバは必須です。id は将来の認証式において userHandle として返される可能性があり、同じ rp.id と user.id が同じである場合に既存の発見可能なクレデンシャルを上書きするために使用されます。name と displayName は将来の認証式でユーザーがクレデンシャルを選択するのを助けるために認証器やクライアントによって使用されることがありますが、それらは将来の認証式の結果としてリライング・パーティに返されることはありません。

詳細は § 5.4.1 Public Key Entity Description (辞書 PublicKeyCredentialEntity) と § 5.4.3 ユーザーアカウントのパラメータ（辞書 PublicKeyCredentialUserEntity） を参照してください。

challenge, 型は BufferSource

このメンバは、認証器が新しく作成されるクレデンシャルのためのアテステーションオブジェクトを生成する際に署名するチャレンジを指定します。セキュリティ考慮事項については § 13.4.3 暗号学的チャレンジ を参照してください。

pubKeyCredParams, 型は sequence<PublicKeyCredentialParameters>

このメンバはリライング・パーティがサポートする鍵の種類と署名アルゴリズムの一覧を最も好ましい順から最も好ましくない順に並べたものを示します。重複は許容されますが実質的に無視されます。クライアントと認証器は可能な限り最も好ましい型のクレデンシャルを作成するよう最善を尽くします。リスト内のどの型も作成できない場合、create() 操作は失敗します。

リライング・パーティ が幅広い認証器をサポートしたい場合、少なくとも次の COSEAlgorithmIdentifier 値を含めるべきです：

• -8 (Ed25519)

• -7 (ES256)

• -257 (RS256)

追加の署名アルゴリズムは必要に応じて含めることができます。

timeout, 型は unsigned long

この任意のメンバは、リライング・パーティが呼び出しの完了を待つことを許容する時間（ミリ秒単位）を指定します。これはヒントとして扱われ、クライアントによって上書きされる可能性があります。

excludeCredentials, 型は sequence<PublicKeyCredentialDescriptor>, デフォルトは []

リライング・パーティはこの任意のメンバを使用して、このユーザーアカウント（値は user.id で識別される）にマッピングされている既存のクレデンシャルを列挙することを推奨します。これにより、新しいクレデンシャルがすでにこのユーザーアカウントにマッピングされたクレデンシャルを既に含んでいる認証器に作成されないようにします。もしそうであれば、クライアントは代わりにユーザーに別の認証器を使用するよう案内するか、それが失敗した場合はエラーを返すことが要求されます。

authenticatorSelection, 型は AuthenticatorSelectionCriteria

リライング・パーティはこの任意のメンバを使用して、create() 操作に参加するために認証器が満たすべき機能や設定を指定することができます。詳細は § 5.4.4 Authenticator Selection Criteria (辞書 AuthenticatorSelectionCriteria) を参照してください。

hints, 型は sequence<DOMString>, デフォルトは []

この任意のメンバは、ユーザーエージェントがユーザーとやり取りする際のガイドとして PublicKeyCredentialHint からのゼロ個以上の要素を含みます。要素は列挙型から取られますが型は DOMString である点に注意してください。詳細は § 2.1.1 列挙型を DOMString 型として扱う を参照してください。

attestation, 型は DOMString、デフォルトは "none"

リライング・パーティはこの任意のメンバを使用してアテステーション伝達に関する好みを指定することができます。値は AttestationConveyancePreference のメンバーであるべきです。クライアントプラットフォームは未知の値を無視し、そのメンバが存在しないかのように扱わなければなりません。

デフォルト値は none です。

attestationFormats, 型は sequence<DOMString>, デフォルトは []

リライング・パーティはこの任意のメンバを使用して、認証器が使用するアテステーションステートメント形式についての好みを指定することができます。値は IANA の "WebAuthn Attestation Statement Format Identifiers" レジストリから取られるべきです [IANA-WebAuthn-Registries]。値は最も好ましい順に並べられ、重複は許容されますが実質的に無視されます。このパラメータは助言的であり、認証器は列挙されていないアテステーション形式を使用することがあります。

デフォルト値は空のリストで、好みがないことを示します。

extensions, 型は AuthenticationExtensionsClientInputs

リライング・パーティはこの任意のメンバを使用して、クライアントと認証器に追加処理を要求するクライアント拡張入力（client extension inputs）を提供することができます。例えば、リライング・パーティは作成されたクレデンシャルに関する追加情報をクライアントに返すよう要求することができます。

拡張フレームワークは § 9 WebAuthn Extensions で定義されています。いくつかの拡張は § 10 定義済み拡張 で定義されています。登録済みの WebAuthn 拡張の最新の一覧については IANA の "WebAuthn Extension Identifiers" レジストリ [IANA-WebAuthn-Registries] を参照してください。

name, 型 DOMString

このエンティティの人にわかりやすい名前です。PublicKeyCredentialEntity が何を表すかによって機能が変わります。

• 【非推奨】PublicKeyCredentialRpEntityで継承されるときは、人にわかりやすい リライングパーティの識別子になり、表示専用です。例：「ACME株式会社」「ワンダフルウィジェット株式会社」「ОАО Примертех」など。

  このメンバーは、ほとんどのクライアントが表示しないため非推奨ですが、後方互換性のため必須メンバーです。リライングパーティは、安全なデフォルトとしてRP IDと同じ値にすることができます。

  • リライングパーティは、[RFC8266] Section 2.3（PRECIS FreeformClassのニックネームプロファイル）の要件に従って、 nameの値の設定・表示時に厳格化を行うべきです（[RFC8264]も参照）。

  • この文字列には言語や方向のメタデータを含めることができます。リライングパーティは、RP ID以外の値を設定する場合、この情報を付与することを推奨します。 言語・方向メタデータについては§ 6.4.2 言語と方向のエンコーディングを参照してください。

  • クライアントも、[RFC8266] Section 2.3のニックネームプロファイル（[RFC8264]）要件に従って nameの値を表示する前や authenticatorMakeCredential オペレーションのパラメータとして値を含める前に厳格化すべきです。

• PublicKeyCredentialUserEntity で継承される場合、人にわかりやすい ユーザーアカウントの識別子になります。この識別子は、クライアントがユーザーに このクレデンシャルがどのユーザーアカウントに結びついているか分かりやすく提示するために使われます。

  例："alexm"、"+14255551234"、"alex.mueller@example.com"、"alex.mueller@example.com (prod-env)"、"alex.mueller@example.com (ОАО Примертех)" など。

  • リライングパーティはこの値をユーザーに選ばせてもよいです。 また、[RFC8265] Section 3.4.3（PRECIS IdentifierClassのUsernameCasePreservedプロファイル）の要件に従い name値を設定・表示する際に厳格化を行うべきです（[RFC8264]参照）。

  • この文字列は言語・方向メタデータを含めても構いません。リライングパーティはこの情報を付与することを勧めます。エンコーディング方法は§ 6.4.2 言語と方向のエンコーディングを参照してください。

  • クライアントもまた、[RFC8265] Section 3.4.3およびPRECIS IdentifierClassのUsernameCasePreservedプロファイル（[RFC8264]）に従い nameの値を 表示やauthenticatorMakeCredentialのパラメータに含める前に厳格化すべきです。

クライアントやクライアントプラットフォーム、認証器がnameの値を表示するときは、必ずUI要素で明確な表示範囲を設け、他の要素へのはみ出しを防ぐようにしてください（[css-overflow-3]）。

name メンバーの値を保存する際は、§ 6.4.1 文字列の切り詰めで述べるように、64バイト以上の制限で切り詰めても構いません。

id, 型 DOMString

リライングパーティエンティティの一意な識別子であり、RP IDを設定します。

id, 型 BufferSource

ユーザーハンドルを示します。これはユーザーアカウントの識別子です。 ユーザーハンドルは最大64バイトの 不透明なバイト列で、 ユーザーに表示するものではありません。

安全な運用のために、認証と認可の判定は必ずこのid メンバーに基づいて行い、displayNameやnameは使わないでください。[RFC8266] Section 6.1 を参照してください。

ユーザーハンドルには、ユーザーに関する個人情報（ユーザー名やメールアドレスなど）を含めてはいけません。 詳しくは§ 14.6.1 ユーザーハンドル内容を参照してください。ユーザーハンドルは空であってはなりません。

ユーザーハンドルは 異なるユーザーアカウント間で一定であってはなりません。 たとえ非発見型クレデンシャルでも、認証器によっては 常に発見型クレデンシャルを生成する場合があります。 したがって固定のユーザーハンドルでは、 1つの認証器を1つのユーザーアカウントでしか リライングパーティで利用できなくなることがあります。

displayName, 型 DOMString

人にわかりやすい ユーザーアカウントの名前で、表示専用を目的とします。リライングパーティは、ユーザー自身にこの値を選択させるべきであり、必要以上の制限を加えないようにしてください。適切な、人にとってわかりやすい名前がなければ空文字列としてください。

例： "Alex Müller", "Alex Müller (ACME Co.)", "田中倫"

• リライングパーティは、[RFC8266] Section 2.3（ニックネームプロファイル）および [RFC8264] に従い、 displayName値が空でない場合、設定時・表示時に厳格化すべきです。

• この文字列は言語や方向のメタデータを含めることができます。 リライングパーティはこの情報を提示することを推奨します。エンコーディングは§ 6.4.2 言語と方向のエンコーディングを参照してください。

• クライアントもまた、[RFC8266] Section 2.3（PRECIS FreeformClassのニックネームプロファイル）と [RFC8264] に従い、 displayName値を 表示またはauthenticatorMakeCredentialオペレーションのパラメータとして組み込む前に、必ず厳格化すべきです。

クライアントやクライアントプラットフォーム、認証器がdisplayNameの値を表示する際は、必ずUI要素で明確な範囲を設け、他の要素にはみ出さないようにしてください（[css-overflow-3]）。

displayName メンバーの値を保存する際も、§ 6.4.1 文字列の切り詰めで述べる64バイト以上の制限で切り詰めても構いません。

authenticatorAttachment, 型 DOMString

このメンバーが存在する場合、利用可能な認証器は、指定された認証器アタッチメントモダリティで付属されているものだけに絞り込まれます（§ 6.2.1 認証器アタッチメントモダリティも参照）。 このメンバーがない場合、どのアタッチメントモダリティでも許可されます。 値は AuthenticatorAttachment のメンバーであるべきですが、クライアントプラットフォームは未知の値は無視し、 メンバーが存在しないものとして扱います。

また、authenticatorAttachment メンバー（PublicKeyCredential内）で、 実際にどの認証器アタッチメントモダリティが 成功時に使われたかを知ることができます。 create()やget() 操作も参照してください。

residentKey, 型 DOMString

リライングパーティがクライアントサイド発見型クレデンシャルの作成をどの程度望むか指定します。 歴史的経緯により「resident（レジデント）」という用語が残っています。値はResidentKeyRequirementのメンバーであるべきですが、クライアントプラットフォームは未知の値を無視し、存在しないものとして扱います。値がない場合、requireResidentKey がtrueならrequired、 falseもしくは省略ならdiscouragedになります。

ResidentKeyRequirementの 各値と意味についてはそちらを参照してください。

requireResidentKey, 型 boolean（既定値false）

このメンバーはWebAuthn Level 1との後方互換のため保持されており、歴史的理由で「resident」の語を使っています。発見型クレデンシャル用です。リライングパーティは、residentKey がrequiredの場合のみtrueとするべきです。

userVerification, 型 DOMString（既定値"preferred"）

このメンバーは、リライングパーティがcreate() 操作でユーザー検証にどんな要件を持つか指定します。 値は UserVerificationRequirement のメンバーであるべきですが、クライアントプラットフォームは未知の値は無視し、存在しないものとして扱います。

UserVerificationRequirementの説明はそちらを参照してください。

platform

この値はプラットフォームアタッチメントを示します。

cross-platform

この値はクロスプラットフォームアタッチメントを示します。

discouraged

リライングパーティは サーバサイドクレデンシャルの作成を好みますが、クライアントサイド発見型クレデンシャルも許可します。 クライアントと認証器は可能であれば サーバサイドクレデンシャルを作成すべきです。

注： リライングパーティは、作成されるクレデンシャルがサーバサイドクレデンシャルであることを強制できません。また、Credential Properties Extensionのrkプロパティが値を返さない場合もあります。 そのため、特定のユーザーハンドルで2つ目のクレデンシャルを作成したとき、最初のものが上書きされるかどうかリライングパーティは分からない場合があります。

preferred

リライングパーティは クライアントサイド発見型クレデンシャルの作成を強く望みますが、サーバサイドクレデンシャルも許可します。 クライアントと認証器は できるだけ発見型クレデンシャルを作成すべきです。 例えば、クライアントは 発見型クレデンシャルを作成するために必要があればユーザー検証の設定を案内するなど、この設定はuserVerification の値よりも優先されます。

required

リライングパーティ はクライアントサイド発見型クレデンシャルを必須とします。 クライアントは クライアントサイド発見型クレデンシャルが作成できない場合には エラーを返さなければなりません。

none

リライングパーティは 認証器のアテステーションに関心がありません。たとえば、ユーザーの同意を得て識別情報をリライングパーティに送信する事態や、 アテステーションCAや匿名化CAへの往復通信を回避したい場合などです。 認証器がアテステーション文を生成し、それが自己アテステーションでない場合、 クライアントはそれをNoneのアテステーション文に置き換えます。

これがデフォルトであり、未知の値もこの動作にフォールバックします。

indirect

リライングパーティは 検証可能なアテステーション文の受取を希望しますが、 どのようにそのアテステーション文を取得するかはクライアントに任せます。 クライアントはユーザーのプライバシーを守る、もしくは異種エコシステムでリライングパーティのアテステーション検証を補助するため、 認証器が生成したアテステーション文を匿名化CAによるものに置き換えても構いません。

注:この場合、リライングパーティが必ずしも検証可能なアテステーション文を得られる保証はありません。 たとえば認証器が自己アテステーションを行う場合や、 クライアントがアテステーション文をそのまま通す場合などです。

direct

リライングパーティは 認証器が生成したままのアテステーション文の受取を希望します。

enterprise

リライングパーティが エンタープライズアテステーション（認証器を一意に識別可能な情報を含むアテステーション文）の受取を希望する場合に指定します。 この用途は組織内で認証器を特定した登録を行いたいなど、企業内のコントロールされた環境を想定しています。 ユーザーエージェントは、要求されたRP ID 用に明示的に許可されている場合を除き、このアテステーションを提供してはなりません。

許可されている場合、ユーザーエージェントは（認証器呼び出し時に）認証器へエンタープライズアテステーション要求を伝え、その結果として得られたAAGUIDおよびアテステーション文を変更せずリライングパーティへ送るべきです。

type, of type DOMString

このメンバーは新しい資格情報を作成するときは "webauthn.create"、既存の資格情報からアサーションを取得するときは "webauthn.get" という文字列を含みます。このメンバーの目的は、（攻撃者が正当な署名を別の署名とすり替える）特定の種類の署名混乱攻撃を防ぐことです。

challenge, of type DOMString

このメンバーはRelying Partyによって提供されたチャレンジのbase64urlエンコーディングを含みます。§ 13.4.3 暗号チャレンジのセキュリティ考慮事項を参照してください。

origin, of type DOMString

このメンバーは、クライアントから認証器へ提供される、リクエスターの完全修飾オリジンを[RFC6454]で定義された構文で含みます。

crossOrigin, of type boolean

このオプションメンバーは、sameOriginWithAncestors引数値の逆論理値を含みます。 これは内部メソッドに渡される値です。

topOrigin, of type DOMString

このオプションメンバーは、リクエスターの完全修飾トップレベルオリジンを[RFC6454]で定義された構文で含みます。 呼び出し元が先祖と同一オリジンでない場合、すなわちcrossOriginがtrueの場合のみ設定されます。

[予約済] tokenBinding

このオプションメンバーは、Token Bindingプロトコルの状態情報を[TokenBinding]のもと、Relying Partyとの通信で使用された場合に含みます。省略されている場合はクライアントがトークンバインディングをサポートしていません。

注: Token BindingはWebAuthnレベル1・2で存在していましたが、レベル3での利用は想定されていません。tokenBindingフィールドは他目的での使いまわしを防ぐために予約されています。

status, of type DOMString

このメンバーはTokenBindingStatusのいずれかですが、クライアントプラットフォームは未知の値を無視し、それらをtokenBindingメンバーが存在しないものとして扱う必要があります。既知の場合、次のいずれかです：

supported

クライアントがトークンバインディングに対応しているが、Relying Partyとの通信時にネゴシエートされなかったことを示します。

present

トークンバインディングがRelying Partyとの通信で使用されたことを示します。この場合、idメンバーが必須です。

注: TokenBindingStatus列挙は意図的に参照されていません。§ 2.1.1 DOMString型としての列挙型を参照。

id, of type DOMString

statusがpresentである場合、このメンバーは必須です。またbase64url エンコーディングされたToken Binding IDを含みます。

注: Token Binding IDの取得はクライアントプラットフォーム固有の操作です。

CollectedClientData構造は、クライアントによって次の値を計算するために使用されます：

クライアントデータのJSON互換シリアライズ

これは、CollectedClientData辞書に対してJSON互換シリアル化アルゴリズムを実行した結果です。

シリアライズされたクライアントデータのハッシュ

これは、クライアントが構築したクライアントデータのJSON互換シリアライズに対してSHA-256で計算されたハッシュ値です。