Web認証：
公開鍵資格情報にアクセスするための API
レベル 3

options.mediation を conditional に設定することで、 Relying Parties は、ユーザーが既に認証情報の作成に同意している場合に、目立つモーダルUIを表示せずに認証情報を登録したいことを示すことができます。 Relying Party はまず getClientCapabilities() を使って、クライアント が conditionalCreate 機能をサポートしているかを確認すべきです。これは、この機能が利用できない場合にユーザーに見えるエラーを防ぐためです。 クライアントは、式典（ceremony）中に明示的に実行される可能性がある場合を除き、requireUserPresence と requireUserVerification の両方を FALSE に設定しなければなりません、これは options.mediation が conditional に設定されているときの要件です。

任意の navigator.credentials.create() 操作は、AbortController を利用して中止できます； 詳細な手順については DOM § 3.3 Using AbortController and AbortSignal objects in APIs を参照してください。

この 内部メソッド は三つの引数を受け取ります:

origin

この引数は、呼び出し元の 関連設定オブジェクト の オリジン であり、create() 実装によって決定されます。

options

この引数は CredentialCreationOptions オブジェクトで、その options.publicKey メンバーが、作成されるべき PublicKeyCredentialCreationOptions オブジェクトを含んでおり、作成対象の 公開鍵認証情報 の望ましい属性を指定します。

sameOriginWithAncestors

この引数はブール値であり、呼び出し元の environment settings object が その祖先と same-origin である 場合に限り true になります。呼び出し元がクロスオリジンの場合は false です。

Note: この 内部メソッド の呼び出しは、permissions policy によって許可されたことを示しており、これは [CREDENTIAL-MANAGEMENT-1] レベルで評価されます。 詳細は § 5.9 Permissions Policy integration を参照してください。

Note: このアルゴリズムは同期的です: Promise の解決/拒否は navigator.credentials.create() 側で扱われます。

このアルゴリズムで使用されるすべての BufferSource オブジェクトは、アルゴリズム開始時にスナップショットされなければなりません。これは同期の問題を避けるためです。実装は バッファソースが保持するバイトのコピーを取得 して、そのコピーをアルゴリズムの該当部分で使用することを推奨します。

このメソッドが呼び出されると、ユーザーエージェントは次のアルゴリズムを実行しなければなりません:

1. 断言: options.publicKey が存在すること。

2. もし sameOriginWithAncestors が false の場合:

   1. もし options.mediation が存在し、その値が conditional の場合:

      1. "NotAllowedError" をスローする DOMException

   2. もし呼び出し側の relevant global object（create() 実装により決定される）が transient activation を持っていない場合:

      1. "NotAllowedError" をスローする DOMException.

   3. Consume user activation を呼び出し元の relevant global object 上で実行します。

   4. もし認証情報を作成している origin が、該当する top-level origin（ユーザーがアドレスバーで見ているオリジン）と異なる場合、 クライアント はその事実をユーザーに明示するべきです。

3. pkOptions を options.publicKey の値とします。

4. もし pkOptions.timeout が存在するなら、その値が クライアント によって定義された妥当な範囲内にあるか確認し、そうでなければその範囲内に最も近い値に補正します。タイマー lifetimeTimer をこの補正された値に設定します。もし pkOptions.timeout が存在しない場合、lifetimeTimer をクライアント固有のデフォルトに設定します。

   WebAuthn 式典タイムアウトの推奨範囲とデフォルトについては recommended range and default for a WebAuthn ceremony timeout を参照してください。

   クライアント は、特別なニーズを持つユーザーに配慮してタイムアウトに関する認知的ガイドラインを考慮すべきです。

5. もし pkOptions.user.id の長さが 1〜64 バイト（両端含む）の範囲にない場合は TypeError をスローします。

6. callerOrigin を origin とします。もし callerOrigin が opaque origin であれば、"NotAllowedError" をスローします。

7. effectiveDomain を callerOrigin の effective domain とします。もし effective domain が 有効なドメイン でなければ、"SecurityError" をスローします。

   Note: effective domain は host に解決され、domain、ipv4 アドレス、ipv6 アドレス、opaque host、empty host など様々な表現を取ることがあります。 ここで許容されるのは domain 形式 のみです。これは単純化のためと、PKI ベースのセキュリティと直接 IP アドレス識別を組み合わせる際の諸問題を考慮したものです。

8. もし pkOptions.rp.id が

   存在する場合

   もし pkOptions.rp.id が effectiveDomain の registrable domain のサフィックスでも等しくもない場合、そしてクライアントが

   related origin requests をサポートする場合

   1. rpIdRequested を pkOptions.rp.id の値とします。

   2. related origins validation procedure を callerOrigin と rpIdRequested を引数として実行します。結果が false なら、"SecurityError" をスローします。

   related origin requests をサポートしない場合

   "SecurityError" をスローします。

   存在しない場合

   pkOptions.rp.id を effectiveDomain に設定します。

   Note: pkOptions.rp.id は呼び出し元の RP ID を表します。RP ID は、呼び出し元の origin の effective domain にデフォルトされます。ただし、呼び出し側が明示的に pkOptions.rp.id を設定している場合はその値が使用されます。

9. credTypesAndPubKeyAlgs を、新しい リスト とし、その 項目 が PublicKeyCredentialType と COSEAlgorithmIdentifier のペアであるようにします。

10. もし pkOptions.pubKeyCredParams の サイズ が

    ゼロである場合

    以下の PublicKeyCredentialType と COSEAlgorithmIdentifier のペアを credTypesAndPubKeyAlgs に追加します:

    • public-key と -7 ("ES256").

    • public-key と -257 ("RS256").

    非ゼロである場合

    各 current を pkOptions.pubKeyCredParams から取り出して処理します:

    1. もし current.type がこの実装でサポートされていない PublicKeyCredentialType を含んでいる場合、continue します。

    2. alg を current.alg とします。

    3. ペア（current.type と alg）を credTypesAndPubKeyAlgs に追加します。

    もし credTypesAndPubKeyAlgs が 空 であれば、"NotSupportedError" をスローします。

11. clientExtensions を新しい map とし、authenticatorExtensions を新しい map とします。

12. もし pkOptions.extensions が存在するなら、各 extensionId → clientExtensionInput の組に対して次を行います（pkOptions.extensions に含まれる）:

    1. もし extensionId がこの クライアントプラットフォーム によってサポートされていないか、あるいは registration extension でない場合、continue します。

    2. Set clientExtensions[extensionId] を clientExtensionInput に設定します。

    3. もし extensionId が authenticator extension でない場合、continue します。

    4. authenticatorExtensionInput を、extensionId の client extension processing アルゴリズムを clientExtensionInput に対して実行した結果（CBOR）とします。もしアルゴリズムがエラーを返した場合、continue します。

    5. Set authenticatorExtensions[extensionId] を base64url エンコーディング した authenticatorExtensionInput に設定します。

13. collectedClientData を新しい CollectedClientData インスタンスとし、そのフィールドを次のようにします:

    type

    文字列 "webauthn.create".

    challenge

    pkOptions.challenge の base64url エンコーディング。

    origin

    callerOrigin の シリアライズ。

    crossOrigin

    この内部メソッドに渡された sameOriginWithAncestors 引数の値の逆数（inverse）。

    topOrigin

    もしこの内部メソッドに渡された sameOriginWithAncestors 引数が false であれば、callerOrigin の top-level origin のシリアライズ、さもなければ undefined。

14. clientDataJSON を、collectedClientData から構築した JSON 互換のクライアントデータのシリアライズ とします。

15. clientDataHash を、clientDataJSON によって表される シリアライズされたクライアントデータのハッシュ とします。

16. もし options.signal が存在し、且つ aborted であれば、options.signal の abort reason をスローします。

17. issuedRequests を新しい ordered set とします。

18. authenticators を、任意の時点でこの クライアントプラットフォーム 上で利用可能な各 authenticator を識別するプラットフォーム固有のハンドルの 集合 を表す値とします。

    Note: どのような条件で authenticator が「利用可能」であると見なされるかは意図的に仕様化されていません；これは認証器が（例：USB 経由で）ホットプラグされたり（NFC や Bluetooth 経由で）クライアントによって検出されたり、あるいはクライアントに恒久的に組み込まれている場合があり得ることを表しています。

19. もし options.mediation が存在し、その値が conditional の場合:

    1. もしユーザーエージェントが最近認証を仲介しておらず、その認証のオリジンが callerOrigin でなく、またはユーザーがこの種の認証情報作成に同意していない場合、"NotAllowedError" をスローします。

       認証式典が完了したとユーザーエージェントが判断するタイミングはユーザーエージェント側の裁量です。その認証式典は Web Authentication API 以外の手段で行われることもあります。

20. hints の値を考慮し、ユーザーエージェントが適切と判断するようにユーザーインターフェイスを作成します。

21. lifetimeTimer を開始します。

22. While lifetimeTimer が満了していない間、次のアクションを lifetimeTimer と各 authenticator の状態および応答に応じて実行します。各 authenticator は authenticators 内で反復します:

    もし lifetimeTimer が満了したら、

    各 authenticator を issuedRequests について反復し、各 authenticator に対して authenticatorCancel 操作を呼び出し、issuedRequests からその authenticator を 削除 します。

    ユーザーがユーザーエージェントの UI オプションを使って処理をキャンセルした場合、

    各 authenticator を issuedRequests の中で、authenticatorCancel 操作を authenticator に対して呼び出す。 そして、削除 authenticator を issuedRequests から。"NotAllowedError" DOMException を投げる。

    もし options.signal が存在し、且つ aborted であれば、

    各 authenticator を issuedRequests について反復し、各 authenticator に対して authenticatorCancel 操作を呼び出し、issuedRequests からその authenticator を 削除 します。次に options.signal の abort reason をスローします。

    もし authenticator がこの クライアントデバイス 上で利用可能になった場合、

    Note: これは lifetimeTimer 開始時に既に authenticator が利用可能であった場合も含みます。

    1. この authenticator は今や candidate authenticator です。

    2. もし pkOptions.authenticatorSelection が存在するなら:

       1. もし pkOptions.authenticatorSelection.authenticatorAttachment が存在し、その値が現在の authenticator の authenticator attachment modality と等しくない場合、continue します。

       2. もし pkOptions.authenticatorSelection.residentKey が

          存在し、かつ required に設定されている場合

          もしその authenticator が client-side discoverable public key credential source を保存する能力を持っていなければ、continue します。

          存在し、かつ preferred または discouraged に設定されている場合

          影響はありません。

          存在しない場合

          もし pkOptions.authenticatorSelection.requireResidentKey が true に設定されており、その authenticator が client-side discoverable public key credential source を保存する能力を持っていない場合、continue します。

       3. もし pkOptions.authenticatorSelection.userVerification が required に設定されており、その authenticator が user verification を行う能力を持っていない場合、continue します。

    3. requireResidentKey を、credential creation に対する実効的な resident key 要件 とし、以下のように定義します:

       もし pkOptions.authenticatorSelection.residentKey が

       存在し、requiredに設定されている場合

       requireResidentKey を true にする。

       存在し、preferredに設定されている場合

       authenticatorが

       クライアントサイド資格情報保存方式に対応している場合

       requireResidentKey を true にする。

       クライアントサイド資格情報保存方式に対応していない場合、またはクライアントが認証器の能力を判別できない場合

       requireResidentKey を false にする。

       存在し、discouragedに設定されている場合

       requireResidentKey を false にする。

       存在しない場合

       requireResidentKey を pkOptions.authenticatorSelection.requireResidentKey の値にする。

    4. userVerification を、credential creation に対する実効的な user verification 要件 とし、以下のように定義します。もし pkOptions.authenticatorSelection.userVerification が

       が required に設定されている場合

       1. もし options.mediation が conditional に設定されており、式典中に user verification を収集できない場合、ConstraintError をスローします。

       2. userVerification を true にします。

       が preferred に設定されている場合

       もしその authenticator が user verification に対応しているなら、userVerification を true にします。対応していなければ false にします。

       対応している場合

       userVerification を true にします。

       対応していない場合

       userVerification を false にします。

       が discouraged に設定されている場合

       userVerification を false にします。

    5. enterpriseAttestationPossible を Boolean 値として次のように決定します。もし pkOptions.attestation が

       が enterprise に設定されている場合

       ユーザーエージェントが pkOptions.rp.id（上記 step 8 を参照） に対して enterprise attestation をサポートしたい場合、enterpriseAttestationPossible を true にします。そうでなければ false にします。

       それ以外

       enterpriseAttestationPossible を false にします。

    6. attestationFormats を文字列のリストとして初期化し、その初期値を pkOptions.attestationFormats の値に設定します。

    7. もし pkOptions.attestation が

       が none に設定されている場合

       attestationFormats を単一要素リスト ["none"] に設定します。

    8. excludeCredentialDescriptorList を新しい リスト とします。

    9. 各 資格情報デスクリプタ C を pkOptions.excludeCredentials から取り出して処理します:

       1. もし C.transports が 空でない かつ、その authenticator が C.transports に含まれていないトランスポートを通じて接続されている場合、クライアントは 続行することができます。

          Note: クライアントが 続行 を選択した場合、保存されたトランスポートヒントが正確でないと、同じ authenticator に複数の認証情報が誤って登録される可能性があります。 例えば、ソフトウェアのアップグレードによって新しい接続オプションが追加されると、保存されたトランスポートヒントが不正確になることがあります。

       2. そうでなければ、Append して C を excludeCredentialDescriptorList に追加します。

       3. authenticatorMakeCredential 操作をその authenticator に対して呼び出します。パラメータは clientDataHash、pkOptions.rp、pkOptions.user、requireResidentKey、userVerification、credTypesAndPubKeyAlgs、excludeCredentialDescriptorList、enterpriseAttestationPossible、attestationFormats、および authenticatorExtensions です。

    10. Append して authenticator を issuedRequests に追加します。

    もし authenticator がこの クライアントデバイス 上で利用できなくなった場合、

    Remove してその authenticator を issuedRequests から取り除きます。

    もし任意の authenticator がユーザーが操作をキャンセルしたことを示すステータスを返した場合、

    1. Remove してその authenticator を issuedRequests から取り除きます。

    2. 各 残りの authenticator に対して authenticatorCancel 操作を呼び出し、remove します。

       Note: Authenticators は「ユーザーが操作全体をキャンセルした」という通知を返すことがあります。ユーザーエージェントがこの状態をユーザーにどのように示すかは仕様で定められていません。

    もし任意の authenticator が "InvalidStateError" に相当するエラー状態を返した場合、

    1. Remove してその authenticator を issuedRequests から取り除きます。

    2. 各 残りの authenticator に対して authenticatorCancel 操作を呼び出し、remove します。

    3. "InvalidStateError" をスローします。

    Note: このエラー状態は別個に扱われます。なぜなら authenticator がこのエラーを返すのは、excludeCredentialDescriptorList がその authenticator にバインドされた認証情報を識別しており、かつユーザーがその操作に 同意 している場合に限られるからです。この明示的な同意があるため、このケースが Relying Party に対して区別可能であっても受け入れられます。

    もし任意の authenticator が "InvalidStateError" に相当しないエラー状態を返した場合、

    Remove してその authenticator を issuedRequests から取り除きます。

    Note: このケースは操作に対する ユーザーの同意 を意味しないため、エラーの詳細は潜在的に特定可能な情報の漏洩を防ぐために Relying Party から隠されます。詳細は § 14.5.1 Registration Ceremony Privacy を参照してください。

    もし任意の authenticator が成功を示した場合、

    1. Remove してその authenticator を issuedRequests から取り除きます。この認証器は現在 selected authenticator です。

    2. credentialCreationData を、次の struct として定義します。その 項目 は次の通りです:

       attestationObjectResult

       その値は成功した authenticatorMakeCredential 操作から返されたバイト列です。

       Note: この値は attObj です（§ 6.5.4 Generating an Attestation Object で定義）。

       clientDataJSONResult

       その値は clientDataJSON のバイト列です。

       attestationConveyancePreferenceOption

       その値は pkOptions.attestation の値です。

       clientExtensionResults

       その値は AuthenticationExtensionsClientOutputs オブジェクトで、拡張識別子 → クライアント拡張出力 のエントリを含みます。これらのエントリは、各拡張の client extension processing アルゴリズムを実行して クライアント拡張出力 を作成することによって生成されます。対象は pkOptions.extensions に含まれる各クライアント拡張です。

    3. constructCredentialAlg を、グローバルオブジェクト global を受け取り次の手順を実行するアルゴリズムとします:

       1. もし credentialCreationData.attestationConveyancePreferenceOption の値が次のいずれかである場合:

          none

          潜在的に識別可能な情報を、非識別的なバージョンに置き換えます:

          1. もし aaguid が attested credential data にあり、その値が 16 バイトのゼロで、かつ credentialCreationData.attestationObjectResult.fmt が "packed" で、かつ "x5c" が credentialCreationData.attestationObjectResult から欠落している場合、self attestation が使用されているため追加の処置は不要です。

          2. それ以外の場合:

             1. credentialCreationData.attestationObjectResult.fmt を "none" にし、credentialCreationData.attestationObjectResult.attStmt を空の CBOR マップに設定します。（参照: § 8.7 None Attestation Statement Format と § 6.5.4 Generating an Attestation Object）。

          indirect

          クライアントは aaguid や attestation statement を、プライバシーに配慮したより扱いやすいバージョン（例えば Anonymization CA を用いる等）に置き換えることができます。

          direct または enterprise

          認証器の AAGUID と attestation statement をそのまま Relying Party に伝えます。

       2. attestationObject を、新しい ArrayBuffer として、global の %ArrayBuffer% を用いて作成し、credentialCreationData.attestationObjectResult のバイトを含めます。

       3. id を attestationObject.authData.attestedCredentialData.credentialId とします。

       4. pubKeyCred を、global に関連付けられた新しい PublicKeyCredential オブジェクトとし、そのフィールドは次のとおりです:

          [[identifier]]

          id

          authenticatorAttachment

          その authenticator の現在の authenticator attachment modality に一致する AuthenticatorAttachment の値。

          response

          global に関連付けられた新しい AuthenticatorAttestationResponse オブジェクトで、そのフィールドは次のとおりです:

          clientDataJSON

          新しい ArrayBuffer を、global の %ArrayBuffer% を用いて作成し、credentialCreationData.clientDataJSONResult のバイトを含めます。

          attestationObject

          attestationObject

          [[transports]]

          その authenticator がサポートしていると思われる、重複のない 0 個以上の DOMString の列で、辞書順に並べられます。値は AuthenticatorTransport のメンバーであるべきですが、クライアントプラットフォーム は不明な値を無視しなければなりません。

          もしユーザーエージェントがこの情報を明かしたくない場合、プライバシーを保護するための任意の列を代わりに返すことができます。この列は有効でなければならず（辞書順で重複がないこと）、例えば空の列を用いることができます。いずれにせよ、この場合ユーザーエージェントは Relying Party の挙動が最適でなくなるリスクを負います。

          もしユーザーエージェントがトランスポート情報を持っていない場合、このフィールドを空の列に設定するべきです。

          Note: ある認証器がサポートするトランスポートをユーザーエージェントがどのように検出するかはこの仕様の範囲外ですが、例えば attestation certificate（例: [FIDO-Transports-Ext]）からの情報、CTAP2 のような認証器プロトコルで通信されるメタデータ、あるいはプラットフォーム認証器に関する特別な知識などが含まれ得ます。

          [[clientExtensionsResults]]

          新しい ArrayBuffer を、global の %ArrayBuffer% を用いて作成し、credentialCreationData.clientExtensionResults のバイトを含めます。

       5. pubKeyCred を返します。

    4. 各 残りの authenticator に対して authenticatorCancel 操作を呼び出し、remove します。

       constructCredentialAlg を返してこのアルゴリズムを終了します。

23. "NotAllowedError" をスローします。

上記の過程の間、ユーザーエージェントは認証器の選択と承認の過程をユーザーに案内するために何らかの UI を表示するべきです。もし options.mediation が conditional に設定されている場合、事前にユーザーが同意していない限り、目立つモーダル UI を表示してはなりません。

この internal method は3つの引数を受け取ります:

origin

この引数は、呼び出し側の get() 実装によって決定される relevant settings object の origin です。すなわち CredentialsContainer の抽象操作 Request a Credential に対応します。

options

この引数は CredentialRequestOptions オブジェクトであり、options.publicKey メンバーが PublicKeyCredentialRequestOptions オブジェクトを含み、発見したい public key credential の望ましい属性を指定します。

sameOriginWithAncestors

この引数は Boolean 値で、呼び出し元の environment settings object が same-origin with its ancestors の場合に限り true です。呼び出し元がクロスオリジンの場合は false です。

Note: この internal method の呼び出しは、permissions policy により許可されていることを示します。permissions policy は [CREDENTIAL-MANAGEMENT-1] レベルで評価されます。詳細は § 5.9 Permissions Policy integration を参照してください。

Note: このアルゴリズムは同期的です： Promise の解決/拒否は navigator.credentials.get() によって扱われます。

このアルゴリズムで使用されるすべての BufferSource オブジェクトは、同期の問題を避けるためにアルゴリズム開始時にスナップショットされなければなりません。実装は get a copy of the bytes held by the buffer source を行い、そのコピーをアルゴリズムの該当部分で使用することを推奨します。

このメソッドが呼び出されたとき、ユーザーエージェントは次のアルゴリズムを実行しなければなりません:

1. アサート: options.publicKey が存在すること。

2. pkOptions を options.publicKey の値とする。

3. もし options.mediation が存在し、その値が conditional の場合:

   1. credentialIdFilter を pkOptions.allowCredentials の値とします。

   2. pkOptions.allowCredentials を empty に設定します。

      Note: これは non-discoverable credentials が conditional リクエスト中に使用されるのを防ぎます。

   3. lifetimeTimer を無限大に設定します。

      Note: lifetimeTimer を無限大に設定するのは、ユーザーが Document の存続期間全体を用いて input 要素などの "webauthn" タグ付きフォームコントロールと相互作用できるようにするためです。例えばユーザーがそのような入力フィールドをクリックしたときに、ユーザーエージェントは発見された資格情報のリストを表示してユーザーに選択させたり、「別の方法を試す」オプションを提供したりできます。

4. それ以外の場合:

   1. credentialIdFilter を空の list とします。

   2. もし pkOptions.timeout が存在するなら、その値が client によって定義される合理的な範囲内にあるか確認し、範囲外であれば最も近い範囲内の値に修正します。調整した値を lifetimeTimer に設定します。もし pkOptions.timeout が存在しない場合は、lifetimeTimer を client 固有のデフォルトに設定します。

      合理的な範囲とデフォルトの決定については、WebAuthn 儀式タイムアウトの推奨範囲とデフォルト を参照してください。

      ユーザーエージェントは、支援が必要なユーザー向けの認知ガイドラインを考慮してタイムアウトを決定するべきです。

5. callerOrigin を origin とします。もし callerOrigin が opaque origin であれば、"NotAllowedError" DOMException をスローします。

6. effectiveDomain を callerOrigin の effective domain とします。もし effectiveDomain が 有効なドメイン でなければ、"SecurityError" DOMException を投げます。

   Note: effective domain は host に解決されることがあり、その表現は domain、ipv4 アドレス、ipv6 アドレス、opaque host、empty host など様々です。ここでは host の domain 形式のみを許可します。これは簡便化のためであり、PKI ベースのセキュリティと直接 IP アドレス識別を組み合わせる際の諸問題を考慮したものです。

7. もし pkOptions.rpId が

   存在する場合

   もし pkOptions.rpId が effectiveDomain の registrable domain suffix でも等しい値でもない 場合、かつクライアントが

   related origin requests をサポートする場合

   1. rpIdRequested を pkOptions.rpId の値とします。

   2. related origins validation procedure を callerOrigin と rpIdRequested を引数に実行します。結果が false の場合、"SecurityError" DOMException をスローします。

   related origin requests をサポートしない場合

   "SecurityError" DOMException をスローします。

   存在しない場合

   pkOptions.rpId を effectiveDomain に設定します。

   Note: rpId は呼び出し元の RP ID を表します。RP ID は、呼び出し元が get() を呼ぶ際に明示的に設定していない限り、呼び出し元の origin の effective domain がデフォルトになります。

8. clientExtensions を新しい map とし、authenticatorExtensions を新しい map とします。

9. もし pkOptions.extensions が存在するなら、for each を用いて extensionId → clientExtensionInput を取り出し次の処理を行います:

   1. もし extensionId がこの client platform でサポートされていないか、または authentication extension でないなら、continue します。

   2. Set を用いて clientExtensions[extensionId] に clientExtensionInput を設定します。

   3. もし extensionId が authenticator extension でないなら、continue します。

   4. authenticatorExtensionInput を、extensionId の client extension processing アルゴリズムを clientExtensionInput に対して実行した結果（CBOR）とします。アルゴリズムがエラーを返した場合は continue します。

   5. Set を用いて authenticatorExtensions[extensionId] に base64url encoding した authenticatorExtensionInput を設定します。

10. collectedClientData を次のフィールドを持つ新しい CollectedClientData インスタンスとします:

    type

    文字列 "webauthn.get".

    challenge

    base64url encoding を用いた pkOptions.challenge の表現。

    origin

    callerOrigin の シリアライズ。

    crossOrigin

    このメソッドに渡された sameOriginWithAncestors 引数の値の否定（inverse）。

    topOrigin

    もしこのメソッドの sameOriginWithAncestors 引数が false であれば、callerOrigin の top-level origin の シリアライズ。そうでなければ undefined。

11. clientDataJSON を collectedClientData から構築した JSON 互換のシリアライズ とします。

12. clientDataHash を、clientDataJSON によって表される シリアライズされたクライアントデータのハッシュ とします。

13. もし options.signal が存在し、aborted であれば、options.signal の abort reason をスローします。

14. issuedRequests を新しい ordered set とします。

15. savedCredentialIds を新しい map とします。

16. authenticators を、任意の時点でクライアントプラットフォーム上で利用可能な各 authenticator を識別するクライアントプラットフォーム固有のハンドル集合を表す値とします。

    Note: どのような条件で認証器が「利用可能」と見なされるかは意図的に指定されていません。これは認証器が USB 経由でホットプラグされたり、NFC/Bluetooth で検出されたり、またはクライアントに恒久的に組み込まれている場合など、さまざまなメカニズムを表現するためです。

17. silentlyDiscoveredCredentials を新しい map とし、そのエントリは DiscoverableCredentialMetadata → authenticator の形とします。

18. hints の値を考慮して、ユーザーインターフェースを適宜作成してください。

19. lifetimeTimer を開始します。

20. While lifetimeTimer が期限切れになるまで、lifetimeTimer と authenticators の状態および応答に応じて各 authenticator に対して次の操作を行います:

    If lifetimeTimer が期限切れになったら,

    For each を用いて issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。

    If ユーザーが UI 操作でプロセスをキャンセルしたら,

    For each を用いて issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。その後 "NotAllowedError" DOMException をスローします。

    If options.signal が存在し aborted なら,

    For each を用いて issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。その後 options.signal の abort reason をスローします。

    もし options.mediation が conditional で、ユーザーが input または textarea のフォームコントロールと相互作用し、その autocomplete 属性の non-autofill credential type が "webauthn" である場合,

    Note: "webauthn" の autofill detail token は "Normal" や "Contact" タイプの最後の autofill detail token の直後に現れなければなりません。例えば:

    • "username webauthn"

    • "current-password webauthn"

    1. もし silentlyDiscoveredCredentials が empty でない場合:

       1. silentlyDiscoveredCredentials から DiscoverableCredentialMetadata をユーザーが任意で選択できるよう促します。プロンプトは各 DiscoverableCredentialMetadata の otherUI の値（例えば name や displayName）を表示するべきです。

          credentialMetadata を、ユーザーが選択した DiscoverableCredentialMetadata（存在する場合）とします。

       2. もしユーザーが credentialMetadata を選択した場合:

          1. publicKeyOptions を pkOptions の一時的コピーとします。

          2. authenticator を silentlyDiscoveredCredentials[credentialMetadata] の値とします。

          3. publicKeyOptions.allowCredentials を、1つの PublicKeyCredentialDescriptor リストの 項目に設定し、その id の値を credentialMetadata の id の値に、 また type の値を credentialMetadata の type に設定する。

          4. issuing a credential request to an authenticator アルゴリズムを authenticator, savedCredentialIds, publicKeyOptions, rpId, clientDataHash, authenticatorExtensions を引数として実行します。もしこれが false を返したら、continue します。

          5. Append を用いて authenticator を issuedRequests に追加します。

    もし options.mediation が conditional でない場合、かつ issuedRequests が空で、pkOptions.allowCredentials が空でなく、そこに含まれる任意の authenticator について利用可能なものがない場合,

    ユーザーに対して、該当する認証情報が見つからなかったことを示します。ユーザーがダイアログを確認した後、"NotAllowedError" のDOMExceptionをスローします。

    注: クライアントプラットフォームが どのauthenticatorも利用可能にならないことを判断できる一つの方法は、存在する transports メンバーや PublicKeyCredentialDescriptor の 項目 を pkOptions.allowCredentialsで調べることです（存在する場合）。 例えば、全ての PublicKeyCredentialDescriptor 項目が internal のみをリストしていて、全てのプラットフォーム型authenticatorが既に試されていたら、そのリクエストは満たせません。あるいは、すべての PublicKeyCredentialDescriptor 項目が、クライアントプラットフォームでサポートされていない transports をリストしている場合も考えられます。

    もし authenticator がこの client device 上で利用可能になったら,

    Note: これは authenticator が lifetimeTimer 開始時に既に利用可能だった場合も含みます。

    1. もし options.mediation が conditional で、その authenticator が silentCredentialDiscovery 操作をサポートするなら:

       1. collectedDiscoveredCredentialMetadata を authenticator に対して silentCredentialDiscovery を呼び出した結果とします（rpId をパラメータとして渡します）。

       2. For each を用いて collectedDiscoveredCredentialMetadata の各 credentialMetadata について次を行います:

          1. もし credentialIdFilter が空であるか、または credentialIdFilter に id がありその値が credentialMetadata の id の値と一致するなら、set を用いて silentlyDiscoveredCredentials[credentialMetadata] に authenticator を設定します。

             Note: 要求は特定の UI コンテキストでユーザーが資格情報を選択した際にこの認証器に対して発行されます（詳細は ここ を参照）。

    2. それ以外の場合:

       1. issuing a credential request to an authenticator アルゴリズムを authenticator, savedCredentialIds, pkOptions, rpId, clientDataHash, authenticatorExtensions で実行します。もしこれが false を返したら continue します。

       2. Append を用いて authenticator を issuedRequests に追加します。

    もし authenticator がこの client device で利用不可になったら,

    Remove を用いて issuedRequests からその authenticator を削除します。

    もし任意の authenticator がユーザーが操作をキャンセルしたというステータスを返したら,

    1. Remove を用いてその authenticator を issuedRequests から取り除きます。

    2. For each を用いて残りの issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。

       Note: Authenticators は「ユーザーが操作全体をキャンセルした」という表示を返すことがあります。ユーザーエージェントがこの状態をユーザーにどのように示すかは未規定です。

    もし任意の authenticator がエラーステータスを返したら,

    Remove を用いてその authenticator を issuedRequests から取り除きます。

    もし任意の authenticator が成功を示したら,

    1. Remove を用いてその authenticator を issuedRequests から取り除きます。

    2. assertionCreationData を次の項目を持つ struct とします:

       credentialIdResult

       もし savedCredentialIds[authenticator] が存在するなら、credentialIdResult の値を savedCredentialIds[authenticator] のバイト列に設定します。そうでなければ、成功した authenticatorGetAssertion 操作から返された credential ID のバイト列を credentialIdResult の値として設定します。

       clientDataJSONResult

       その値は clientDataJSON のバイト列です。

       authenticatorDataResult

       その値は成功した authenticator により返された authenticator data のバイト列です。

       signatureResult

       その値は authenticator によって返された署名値のバイト列です。

       userHandleResult

       もし authenticator が user handle を返した場合、userHandleResult に返された user handle のバイト列を設定します。そうでなければ userHandleResult を null に設定します。

       clientExtensionResults

       その値は AuthenticationExtensionsClientOutputs オブジェクトで、各 extension identifier → client extension output のエントリを含みます。これらのエントリは pkOptions.extensions 内の各クライアント拡張に対して各拡張の client extension processing アルゴリズムを実行して生成されます。

    3. もし credentialIdFilter が空でなく、かつ credentialIdFilter に id が含まれており、その値が credentialIdResult の値と一致しない場合は continue します。

    4. もし credentialIdFilter が空で、かつ userHandleResult が null であれば、continue します。

    5. settings を current settings object とし、global を settings の global object とします。

    6. pubKeyCred を、global に関連付けられた新しい PublicKeyCredential オブジェクトとし、そのフィールドを以下のように設定します:

       [[identifier]]

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.credentialIdResult のバイト列を格納します。

       authenticatorAttachment

       AuthenticatorAttachment の値を、この authenticator の現在の authenticator attachment modality に合わせて設定します。

       response

       新しい AuthenticatorAssertionResponse オブジェクトを global に関連付けて作成し、そのフィールドを以下のように設定します:

       clientDataJSON

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.clientDataJSONResult のバイト列を格納します。

       authenticatorData

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.authenticatorDataResult のバイト列を格納します。

       signature

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.signatureResult のバイト列を格納します。

       userHandle

       もし assertionCreationData.userHandleResult が null であれば、このフィールドを null に設定します。そうでなければ新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.userHandleResult のバイト列を格納します。

       [[clientExtensionsResults]]

       新しい ArrayBuffer を global の %ArrayBuffer% を用いて作成し、assertionCreationData.clientExtensionResults のバイト列を格納します。

    7. For each を用いて残りの issuedRequests 内の各 authenticator に対し authenticatorCancel を呼び出し、remove します。

    8. 返り値として pubKeyCred を返し、アルゴリズムを終了します。

21. "NotAllowedError" DOMException をスローします。

[[Store]](credential, sameOriginWithAncestors) メソッドは Web Authentication の PublicKeyCredential 型ではサポートされていないため、[[Store]](credential, sameOriginWithAncestors) internal method の実装は常にエラーを投げます。

Note: 本アルゴリズムは同期的です；Promise の解決/拒否は navigator.credentials.store() により扱われます。

この internal method は 2 つの引数を受け取ります:

credential

この引数は PublicKeyCredential オブジェクトです。

sameOriginWithAncestors

この引数は Boolean 値で、呼び出し元の environment settings object が same-origin with its ancestors の場合に限り true です。

このメソッドが呼び出されたとき、ユーザーエージェントは次のアルゴリズムを実行しなければなりません:

1. "NotSupportedError" DOMException をスローします。

WebAuthn Relying Parties はこのメソッドを使用して、user-verifying platform authenticator を使って新しい資格情報を作成できるかを判定します。呼び出されると、client は クライアントプラットフォーム 固有の手順を用いて利用可能な user-verifying platform authenticator を探索します。もしいずれかが発見されれば、Promise は true で解決されます。発見されなければ false で解決されます。結果に基づき、Relying Party はユーザーに対して資格情報の作成を案内する追加の処理を行えます。

このメソッドは引数を取らず、Boolean 値を返します。

partial interface PublicKeyCredential {
    static Promise<boolean> isUserVerifyingPlatformAuthenticatorAvailable();
};

WebAuthn Relying Parties はこのメソッドを使用して、特定のワークフローやユーザー体験を提供するための限られたセットの client 能力の可用性を判定します。例えば、ある RP はクライアント上でのみ hybrid トランスポートが利用可能な場合、あるいは conditional 仲介が利用できない場合にサインインボタンを表示する、といったことが可能になります（代わりにユーザー名フィールドを表示するよりよい選択など）。

呼び出されると、client は クライアントプラットフォーム 固有の手順を用いてこれらの能力の可用性を探索します。

このメソッドは引数を取らず、能力キーを Boolean 値にマッピングしたレコードを返します。

partial interface PublicKeyCredential {
    static Promise<PublicKeyCredentialClientCapabilities> getClientCapabilities();
};

typedef record<DOMString, boolean> PublicKeyCredentialClientCapabilities;

Keys は PublicKeyCredentialClientCapabilities で昇順の辞書式順にソートされている必要があります。キーの集合には ClientCapability 列挙型の列挙値を含めるべきですが、クライアントは必要に応じてキーを省略できます（詳細は § 14.5.4 Disclosing Client Capabilities を参照）。

ある能力の値が true の場合、その機能は現在クライアントによってサポートされていることが知られます。値が false の場合、その機能は現在クライアントでサポートされていないことが知られます。ある能力がキーとして存在しない場合、その機能の可用性は不明です。

キーの集合には、クライアントが実装している各 拡張 に対しても、接頭辞 "extension:" を拡張識別子に付けた文字列をキーとして含めるべきです。実装された各拡張の関連値は true とすることが推奨されます。もし getClientCapabilities() がクライアントでサポートされているが、ある拡張が true にマップされていない場合、Relying Party はその拡張に対するクライアント側の処理が行われない可能性や、拡張が認証器に転送されない可能性を想定してよいです。

注: たとえ拡張が true にマップされていても、特定の操作で使用する認証器がその拡張をサポートしていない場合があるため、Relying Parties は認証器側の処理が必ず行われると仮定してはなりません。

WebAuthn Relying Parties はこのメソッドを使って、JSON 型 で表現された navigator.credentials.create() オプションを PublicKeyCredentialCreationOptions に変換します。

呼び出されると、client は options 引数を、新しいが同一構造の PublicKeyCredentialCreationOptions オブジェクトに変換する必要があります。変換の際、base64url エンコーディング を用いて、JSON の DOMString 属性のうち、PublicKeyCredentialCreationOptionsJSON 内で buffer source 型 に相当するものをデコードします。この変換は client extension inputs についてもクライアント側で処理される場合に適用される必要があります。

AuthenticationExtensionsClientInputsJSON には、IANA の "WebAuthn Extension Identifiers" レジストリに登録された拡張が含まれていてもよく（[IANA-WebAuthn-Registries]）、それが本仕様の § 9 WebAuthn Extensions で定義されていない場合でも構いません。

もし client が JSON 表現の解析に問題を検出した場合、クライアントは不適合な値の説明を付した "EncodingError" DOMException をスローし、操作を終了しなければなりません。

partial interface PublicKeyCredential {
    static PublicKeyCredentialCreationOptions parseCreationOptionsFromJSON(PublicKeyCredentialCreationOptionsJSON options);
};

dictionary PublicKeyCredentialCreationOptionsJSON {
    required PublicKeyCredentialRpEntity                    rp;
    required PublicKeyCredentialUserEntityJSON              user;
    required Base64URLString                                challenge;
    required sequence<PublicKeyCredentialParameters>        pubKeyCredParams;
    unsigned long                                           timeout;
    sequence<PublicKeyCredentialDescriptorJSON>             excludeCredentials = [];
    AuthenticatorSelectionCriteria                          authenticatorSelection;
    sequence<DOMString>                                     hints = [];
    DOMString                                               attestation = "none";
    sequence<DOMString>                                     attestationFormats = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

dictionary PublicKeyCredentialUserEntityJSON {
    required Base64URLString        id;
    required DOMString              name;
    required DOMString              displayName;
};

dictionary PublicKeyCredentialDescriptorJSON {
    required DOMString              type;
    required Base64URLString        id;
    sequence<DOMString>             transports;
};

dictionary AuthenticationExtensionsClientInputsJSON {
};

WebAuthn Relying Parties はこのメソッドを使用して、JSON 型 表現の navigator.credentials.get() オプションを PublicKeyCredentialRequestOptions に変換します。

呼び出されると、client は options 引数を、新しいが同一構造の PublicKeyCredentialRequestOptions オブジェクトに変換する必要があります。変換では base64url エンコーディング を用いて、DOMString 属性のうち PublicKeyCredentialRequestOptionsJSON 内で buffer source 型 に対応するものをデコードします。この変換はクライアントが処理する任意の client extension inputs に対しても適用されなければなりません。

AuthenticationExtensionsClientInputsJSON は、IANA の "WebAuthn Extension Identifiers" レジストリに登録された拡張を含んでもよく（[IANA-WebAuthn-Registries]）、それが本仕様の § 9 WebAuthn Extensions で定義されていない場合でも構いません。

もし client が JSON 表現の解析に問題を検出した場合、クライアントは不適合な値の説明を付した "EncodingError" DOMException をスローして操作を終了しなければなりません。

partial interface PublicKeyCredential {
    static PublicKeyCredentialRequestOptions parseRequestOptionsFromJSON(PublicKeyCredentialRequestOptionsJSON options);
};

dictionary PublicKeyCredentialRequestOptionsJSON {
    required Base64URLString                                challenge;
    unsigned long                                           timeout;
    DOMString                                               rpId;
    sequence<PublicKeyCredentialDescriptorJSON>             allowCredentials = [];
    DOMString                                               userVerification = "preferred";
    sequence<DOMString>                                     hints = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

clientDataJSON, 型 ArrayBuffer, 読み取り専用

この属性には、JSON互換の シリアライズが含まれます。クライアントデータのハッシュ値は、 クライアントが認証器へ create() または get() を呼び出す際に渡されます（つまり クライアントデータ自体は 認証器には送信されません）。

clientDataJSON

この属性はAuthenticatorResponse から継承されたもので、認証器を生成するためにクライアントが認証器に渡したクライアントデータのJSON互換シリアライズを含みます（詳細は § 6.5 証明 を参照）。正確なJSONシリアライズは保持される必要があり、シリアライズされたクライアントデータのハッシュがその上で計算されているためです。

attestationObject, 型は ArrayBuffer、読み取り専用

この属性にはアテステーションオブジェクトが含まれており、これはクライアントからは不透明であり、暗号技術によって改ざんから保護されています。アテステーションオブジェクトには、認証器データとアテステーションステートメントの両方が含まれます。 前者には AAGUID、一意な認証情報ID、そして認証情報公開鍵が含まれています。 アテステーションステートメントの内容は、 使用されるアテステーションステートメントフォーマットによって認証器が決定します。 また、Relying Partyのサーバーが アテステーションステートメントを検証するため及び認証器データとクライアントデータのJSON互換シリアル化を復号・検証するために必要な追加情報も含まれます。 詳細は§ 6.5 アテステーション、§ 6.5.4 アテステーションオブジェクトの生成、 図6を参照してください。

getTransports()

この操作は[[transports]]の値を返します。

getAuthenticatorData()

この操作はattestationObjectに含まれるauthenticator dataを返します。詳しくは § 5.2.1.1 認証情報データへ簡単にアクセスする方法 を参照してください。

getPublicKey()

この操作は新しいクレデンシャルのDER形式のSubjectPublicKeyInfoを返します。利用できない場合はnullを返します。詳しくは § 5.2.1.1 認証情報データへ簡単にアクセスする方法 を参照してください。

getPublicKeyAlgorithm()

この操作は新しいクレデンシャルのCOSEAlgorithmIdentifierを返します。詳しくは § 5.2.1.1 認証情報データへ簡単にアクセスする方法 を参照してください。

[[transports]]

この内部スロットには、辞書順に並んだゼロ個以上の一意なDOMStringの列が含まれます。これらの値は認証器がサポートしていると考えられるトランスポートであり、情報が利用できない場合は空の列になります。値は AuthenticatorTransport のメンバーであるべきですが、リライング・パーティは未知の値を受け入れて保存するべきです。

clientDataJSON

この属性は AuthenticatorResponse から継承され、認証器がこのアサーションを生成するためにクライアントが認証器に渡したクライアントデータのJSON互換シリアライズを含みます（詳細は § 5.8.1 WebAuthn署名で使用されるクライアントデータ（辞書 CollectedClientData） を参照）。正確なJSONシリアライズは保持されなければならず、シリアライズされたクライアントデータのハッシュがその上で計算されているためです。

authenticatorData, 型は ArrayBuffer、読み取り専用

この属性は認証器から返されたauthenticator dataを含みます。詳しくは § 6.1 Authenticator Data を参照してください。

signature, 型は ArrayBuffer、読み取り専用

この属性は認証器から返された生の署名を含みます。詳しくは § 6.3.3 The authenticatorGetAssertion Operation を参照してください。

userHandle, 型は ArrayBuffer、読み取り専用、nullable

この属性は認証器から返されたユーザーハンドルを含むか、認証器がユーザーハンドルを返さなかった場合は null になります。詳しくは § 6.3.3 The authenticatorGetAssertion Operation を参照してください。allowCredentials オプションが認証式で空の場合、認証器は常にユーザーハンドルを返す必要があり、そうでなければ返してもよい (MAY) です。

type, 型は DOMString

このメンバは作成されるクレデンシャルの種類を指定します。値は PublicKeyCredentialType のメンバーであるべきですが、クライアントプラットフォームは未知の値を無視する必要があり、未知の PublicKeyCredentialParameters を type が未知の場合は無視します。

alg, 型は COSEAlgorithmIdentifier

このメンバは新しく生成されるクレデンシャルで使用される暗号署名アルゴリズム、すなわち生成される公開鍵ペアのタイプ（例：RSA や 楕円曲線）を指定します。

注：後者のメンバ名を "algorithm" と綴らずに "alg" としているのは、認証器へのメッセージにシリアライズされる際に低帯域のリンクを通る可能性があるためです。

rp, of type PublicKeyCredentialRpEntity

このメンバーは、リクエストに対して責任を負うリライイングパーティの名前と識別子を含みます。

その値のname メンバーは必須です。詳細は § 5.4.1 Public Key Entity Description (dictionary PublicKeyCredentialEntity) を参照してください。

その値のid メンバーは、資格情報がスコープされるべきRP IDを指定します。省略された場合、その値はCredentialsContainer オブジェクトの関連設定オブジェクトのオリジンの有効ドメインになります。詳細は § 5.4.2 Relying Party Parameters for Credential Generation (dictionary PublicKeyCredentialRpEntity) を参照してください。

user, of type PublicKeyCredentialUserEntity

このメンバーは、登録を行うユーザーアカウントの名前と識別子を含みます。

その値の name、 displayName および id メンバーは必須です。 id は、将来の 認証式で userHandle として返される場合があり、 また、同じ rp.id および user.id を持つ既存の 検出可能な資格情報 を上書きするために使用されます。 name と displayName は、将来の 認証式で 認証器や クライアントによって ユーザーが資格情報を選択する際に利用される場合がありますが、将来の 認証式の結果としてRP には返されません。

詳細は § 5.4.1 Public Key Entity Description (dictionary PublicKeyCredentialEntity) および § 5.4.3 User Account Parameters for Credential Generation (dictionary PublicKeyCredentialUserEntity) を参照してください。

challenge, of type BufferSource

このメンバーは、新しく作成される資格情報のためのアテステーションオブジェクトを生成する際に、authenticatorが他のデータと共に署名するチャレンジを指定します。セキュリティ上の考慮事項は § 13.4.3 Cryptographic Challenges を参照してください。

pubKeyCredParams, of type sequence<PublicKeyCredentialParameters>

このメンバーは、リライイングパーティがサポートする鍵タイプと署名アルゴリズムを、最も好ましい順から最も好ましくない順に列挙します。重複は許容されますが実質的には無視されます。クライアントおよびauthenticatorは、可能な限り最も好まれるタイプの資格情報を作成するよう最善を尽くします。列挙されたどのタイプも作成できない場合、create() 操作は失敗します。

リライイングパーティ が多様なauthenticatorをサポートしたい場合、少なくとも次のCOSEAlgorithmIdentifier の値を含めるべきです：

• -8 (EdDSA)

• -7 (ES256)

• -257 (RS256)

必要に応じて追加の署名アルゴリズムを含めることができます。

次に示す、COSEAlgorithmIdentifier による完全指定の値は、[RFC9864] によって導入されたもので、pubKeyCredParamsには推奨されません：

• -9 (ESP256); 代わりに -7 (ES256) を使用するか、併用してください。

• -51 (ESP384); 代わりに -35 (ES384) を使用するか、併用してください。

• -52 (ESP512); 代わりに -36 (ES512) を使用するか、併用してください。

• -19 (Ed25519); 代わりに -8 (EdDSA) を使用するか、併用してください。

注: WebAuthn 内では、値 -9 (ESP256)、-51 (ESP384)、-52 (ESP512) および -19 (Ed25519) は、それぞれ -7 (ES256)、-35 (ES384)、-36 (ES512) および -8 (EdDSA) と同じものを表します。これは § 5.8.5 Cryptographic Algorithm Identifier (typedef COSEAlgorithmIdentifier) に記載された追加の制約によるものです。しかし、多くの実装は後者の識別子をサポートするが前者をサポートしない場合があるため、実際には互換性がありません。したがって後者の識別子は互換性のためにpubKeyCredParams において推奨されます。

timeout, of type unsigned long

この任意のメンバーは、リライイングパーティが呼び出しの完了を待つ意志のある時間（ミリ秒）を指定します。これはヒントとして扱われ、クライアントによって上書きされることがあります。

excludeCredentials, of type sequence<PublicKeyCredentialDescriptor>, defaulting to []

リライイングパーティは、この任意のメンバーを使用して、この資格情報をそのユーザーアカウントにマップしている既存の資格情報（user.id により識別される）を列挙するべきです。これにより、新しい資格情報が既に同じauthenticator上にそのユーザーアカウントにマップされた資格情報を含んでいる場合に、該当する authenticator 上で作成されないようにします。その場合、クライアントは代わりにユーザーに別のauthenticatorの使用を促すか、それが失敗した場合はエラーを返すよう要求されます。

authenticatorSelection, of type AuthenticatorSelectionCriteria

リライイングパーティは、この任意のメンバーを使用して、authenticatorがcreate() 操作に参加するために満たすべき必須または推奨の機能や設定を指定することができます。詳細は § 5.4.4 Authenticator Selection Criteria (dictionary AuthenticatorSelectionCriteria) を参照してください。

hints, of type sequence<DOMString>, defaulting to []

この任意のメンバーは、ユーザーエージェントがユーザーとやり取りする際の指針として用いるための、PublicKeyCredentialHint からのゼロ個以上の要素を含みます。要素は列挙型から取られますが型はDOMStringである点に注意してください。詳細は § 2.1.1 Enumerations as DOMString types を参照してください。

attestation, of type DOMString, defaulting to "none"

Relying Party は、このオプションメンバーを利用して attestation conveyance に関する希望を指定できる。 値は AttestationConveyancePreference のメンバーであるべきである。 Client platforms は未知の値を無視し、未知の値を そのメンバーが存在しない ものとして扱わなければならない。

デフォルト値は none です。

attestationFormats, of type sequence<DOMString>, defaulting to []

リライイングパーティは、この任意のメンバーを使用して、アテステーションステートメントのフォーマットに関する好みを指定することができます。値は [IANA-WebAuthn-Registries] にある "WebAuthn Attestation Statement Format Identifiers" 登録の項目から取るべきです。値は最も好ましい順から最も好ましくない順に並べられます。重複は許容されますが実質的には無視されます。このパラメータは助言的なものであり、authenticatorはこのパラメータに列挙されていないアテステーションステートメントを使用することがあります。

デフォルト値は空リストで、これは特に好みがないことを示します。

extensions, of type AuthenticationExtensionsClientInputs

リライイングパーティは、この任意のメンバーを使用して、クライアントおよびauthenticatorによる追加処理を要求するクライアント拡張入力（client extension inputs）を提供することができます。例えば、リライイングパーティはクライアントに対して作成された資格情報に関する追加情報を返すよう要求することができます。

拡張フレームワークは § 9 WebAuthn Extensions に定義されています。いくつかの拡張は § 10 Defined Extensions に定義されています；最新の登録済みのWebAuthn Extensionsの一覧については、[IANA-WebAuthn-Registries] を参照してください。

name, of type DOMString

エンティティの人間に読みやすい名前。このメンバーの機能は、PublicKeyCredentialEntity が何を表すかによって異なります：

• [非推奨] PublicKeyCredentialRpEntity から継承される場合、表示用の人間に読みやすい識別子であり、例えば「ACME Corporation」、「Wonderful Widgets, Inc.」や「ОАО Примертех」のような表示を想定しています。

  多くのクライアントがこれを表示しないため、このメンバーは非推奨になっていますが、後方互換性のために辞書メンバーとしては必須のままです。リライイングパーティは、安全なデフォルトとしてこれをRP IDと同じ値に設定してもよいです。

  • リライイングパーティは、[RFC8266] のセクション2.3に記載された PRECIS FreeformClass の Nickname プロファイルの規定に従って、この name の値を設定するか、またはユーザーに表示する際に正規化と適切な扱いを行うべきです。

  • クライアントは、ユーザーに表示する前、または authenticatorMakeCredential 操作のパラメータとして含める前に、同じく [RFC8266] のセクション2.3に従った検証と正規化を実行するべきです。

• PublicKeyCredentialUserEntity から継承される場合、人間に読みやすい識別子であり、ユーザーアカウントを示します。この識別子は、クライアントがユーザーに対して資格情報がどのユーザーアカウントに関連しているかを理解させるために主に表示する値です。

  この識別子の適切な例には "alexm", "+14255551234", "alex.mueller@example.com", "alex.mueller@example.com (prod-env)", または "alex.mueller@example.com (ОАО Примертех)" などがあります。

  • リライイングパーティは、この値をユーザーに選ばせることができます。リライイングパーティは、[RFC8265] のセクション3.4.3に記載された PRECIS IdentifierClass の UsernameCasePreserved プロファイルに従って、この name の値を設定するか、またはユーザーに表示する際に検証と正規化を行うべきです。

  • クライアントは、ユーザーに表示する前、または authenticatorMakeCredential 操作のパラメータとして含める前に、同じく [RFC8265] のセクション3.4.3に従った検証と正規化を実施するべきです。

クライアント、クライアントプラットフォーム、または authenticators が name の値を表示する場合、表示された値の周りに明確な境界を示す UI 要素を常に使用し、他の要素へオーバーフローしないようにすべきです [css-overflow-3]。

name メンバーの値を保存する際、その値は § 6.4.1 String Truncation に記載されているように、64バイト以上のサイズ制限を用いて切り詰められてもよいです。

id, の型は DOMString

リライイングパーティ エンティティの一意の識別子で、RP ID を設定します。

id, of type BufferSource

ユーザーハンドルは、ユーザーアカウントのユーザーハンドルです。ユーザーハンドルは最大64バイトの不透明なバイト列であり、ユーザーに表示することを意図したものではありません。

安全な動作を確保するため、認証および認可の判断はこの id メンバーに基づいて行われなければならず、displayName や name メンバーに基づいて行ってはなりません。詳細は [RFC8266] のセクション6.1を参照してください。

ユーザーハンドルは、ユーザー名や電子メールアドレスなどのユーザーを特定可能にする個人情報を含んではなりません。詳細は § 14.6.1 User Handle Contents を参照してください。ユーザーハンドルは空にしてはなりません。

ユーザーハンドルは、非発見可能な資格情報の場合でも、異なるユーザーアカウント間で一定の値にしてはならないことが望ましいです。なぜなら、一部のauthenticatorは常に発見可能な資格情報を作成するためです。したがって一定のユーザーハンドルでは、当該authenticatorを同じリライイングパーティで複数のユーザーアカウントと共に使用することができなくなります。

displayName, of type DOMString

人間に読みやすい名前で、表示のためだけに使われるユーザーアカウントの名前です。リライイングパーティはユーザーにこの値を選ばせるべきであり、必要以上に選択を制限してはなりません。適切な人間に読みやすい名前が利用できない場合、リライイングパーティはこの値を空文字列に設定するべきです。

この識別子の適切な値の例には "Alex Müller", "Alex Müller (ACME Co.)" または "田中倫" などがあります。

• リライイングパーティは、[RFC8266] のセクション2.3に記載された PRECIS FreeformClass の Nickname プロファイルに従って、displayName に非空の文字列を設定する場合、または非空の値をユーザーに表示する場合には整合性検査を行うべきです。

• クライアントは、[RFC8266] のセクション2.3に従って、displayName の値を、ユーザーに非空の値を表示する前や、authenticatorMakeCredential 操作のパラメータとして非空の値を含める前に検査および正規化するべきです。

クライアント、クライアントプラットフォーム、または authenticator が displayName の値を表示する場合、表示された値の周囲に明確な境界を示す UI 要素を常に使用し、他の要素へのオーバーフローを許してはなりません [css-overflow-3]。

displayName メンバーの値を保存する際、その値は § 6.4.1 String Truncation に記載されているように、64バイト以上のサイズ制限以上の値で切り詰められてもよいです。

authenticatorAttachment, of type DOMString

このメンバーが存在する場合、適格な authenticators は、指定された authenticator attachment modality で接続されているもののみに絞り込まれます（参照 § 6.2.1 Authenticator Attachment Modality）。このメンバーが存在しない場合は、いかなるアタッチメントモダリティも許容されます。 値は AuthenticatorAttachment のメンバーであるべきですが、client platforms は不明な値を無視し、不明な値を メンバーが存在しないかのように扱わなければなりません。

また、成功した create() または get() 操作でどの authenticator attachment modality が使われたかを示すことができる、authenticatorAttachment メンバーを持つ PublicKeyCredential も参照してください。

residentKey, of type DOMString

リライイングパーティがクライアント側発見可能な資格情報（client-side discoverable credential）をどの程度作成したいかを指定します。歴史的な理由により、名称には非推奨の “resident” 用語が残っています。値は ResidentKeyRequirement のメンバーであるべきですが、client platforms は不明な値を無視し、不明な値を メンバーが存在しないかのように扱わなければなりません。値が与えられない場合、required となるのは requireResidentKey が true のときであり、discouraged となるのはそれが false または省略されたときです。

ResidentKeyRequirement を参照して、residentKey の値と意味を確認してください。

requireResidentKey, of type boolean, defaulting to false

このメンバーは WebAuthn Level 1 との後方互換のために残されており、歴史的理由から discoverable credentials に対する “resident” という非推奨の命名を保持しています。Relying Parties は、かつその場合に限り、residentKey が required に設定されているときにのみ、このメンバーを true に設定するべきです。

userVerification, of type DOMString, defaulting to "preferred"

このメンバーは、Relying Party が create() 操作に対して要求する user verification に関する要件を指定します。 値は UserVerificationRequirement のメンバーであるべきですが、client platforms は不明な値を無視し、不明な値を メンバーが存在しないかのように扱わなければなりません。

UserVerificationRequirement を参照して、userVerification の値と意味を確認してください。

platform

この値はplatform attachmentを示します。

cross-platform

この値はcross-platform attachmentを示します。

discouraged

Relying Party は サーバー側資格情報 の作成を好みますが、クライアント側発見可能な資格情報 を受け入れます。クライアントおよび authenticator は可能であれば サーバー側資格情報 を作成するべきです。

注: Relying Party は、作成された資格情報が サーバー側資格情報 であることを要求することはできず、Credential Properties Extension が rk プロパティの値を返さない場合があります。このため、資格情報がサーバー側資格情報かどうかを判別できないことがあり、同じ user handle を持つ 2 つ目の資格情報を作成すると最初のものが置換されるかどうかが分からない場合があります。

preferred

Relying Party はクライアント側発見可能な資格情報の作成を強く好みますが、サーバー側資格情報 も受け入れます。クライアントおよび authenticator は可能であれば 発見可能な資格情報 を作成するべきです。 例えば、クライアント は、発見可能な資格情報を作成するために ユーザー検証 の設定が必要な場合、ユーザーがその設定を行えるよう案内するべきです。これは userVerification の設定より優先されます。

required

Relying Party は クライアント側発見可能な資格情報 を要求します。クライアント は、クライアント側発見可能な資格情報を作成できない場合、エラーを返さなければなりません。

none

Relying Party は authenticator の attestation に関心がありません。例えば、user consent を取得して識別情報を Relying Party に送信する必要を回避したり、Attestation CA や Anonymization CA への往復通信を省略するためです。 authenticator が attestation statement を生成し、それが self attestation でない場合、 client はそれを None の attestation statement に置き換えます。

これはデフォルトの動作であり、不明な値はこの値の振る舞いにフォールバックします。

indirect

Relying Party は検証可能な アテステーションステートメント を受け取りたいと望みますが、その取得方法は client に委ねます。クライアントは、ユーザーのプライバシーを保護するため、または異種のエコシステムで Relying Parties のアテステーション検証を助けるために、authenticator が生成した アテステーションステートメント を Anonymization CA によって生成されたものに置き換えることがあります。

Note: この場合に Relying Party が必ずしも検証可能な アテステーションステートメント を取得できる保証はありません。たとえば、authenticator が self attestation を行い、client がその アテステーションステートメント を無修正で渡す場合などです。

direct

Relying Party は、authenticator によって生成されたとおりの アテステーションステートメント を受け取りたいと望みます。

enterprise

Relying Party は、企業向けアテステーション（enterprise attestation）を受け取りたいと考えています。これは認証器を一意に識別できる情報を含む場合がある アテステーションステートメント です。これは、組織が登録を特定の認証器に紐付けたい場合など、企業内での管理された配備を意図しています。ユーザーエージェントは、 要求されたRP ID に対してユーザーエージェントまたは認証器の設定が許可しない限り、そのようなアテステーションを提供してはなりません。

許可されている場合、ユーザーエージェントは 呼び出し時 に認証器へエンタープライズアテステーションが要求されていることを通知すべきであり、得られた AAGUID と アテステーションステートメント を改変せずに Relying Party に渡すべきです。

type, of type DOMString

このメンバーは新しい資格情報を作成するときは "webauthn.create"、既存の資格情報からアサーションを取得するときは "webauthn.get" という文字列を含みます。このメンバーの目的は、（攻撃者が正当な署名を別の署名とすり替える）特定の種類の署名混乱攻撃を防ぐことです。

challenge, of type DOMString

このメンバーはRelying Partyによって提供されたチャレンジのbase64urlエンコーディングを含みます。§ 13.4.3 暗号チャレンジのセキュリティ考慮事項を参照してください。

origin, of type DOMString

このメンバーは、クライアントから認証器へ提供される、リクエスターの完全修飾オリジンを[RFC6454]で定義された構文で含みます。

crossOrigin, of type boolean

このオプションメンバーは、sameOriginWithAncestors引数値の逆論理値を含みます。 これは内部メソッドに渡される値です。

topOrigin, of type DOMString

このオプションメンバーは、リクエスターの完全修飾トップレベルオリジンを[RFC6454]で定義された構文で含みます。 呼び出し元が先祖と同一オリジンでない場合、すなわちcrossOriginがtrueの場合のみ設定されます。

[予約済] tokenBinding

このオプションメンバーは、Token Bindingプロトコルの状態情報を[TokenBinding]のもと、Relying Partyとの通信で使用された場合に含みます。省略されている場合はクライアントがトークンバインディングをサポートしていません。

注: Token BindingはWebAuthnレベル1・2で存在していましたが、レベル3での利用は想定されていません。tokenBindingフィールドは他目的での使いまわしを防ぐために予約されています。

status, of type DOMString

このメンバーはTokenBindingStatusのいずれかですが、クライアントプラットフォームは未知の値を無視し、それらをtokenBindingメンバーが存在しないものとして扱う必要があります。既知の場合、次のいずれかです：

supported

クライアントがトークンバインディングに対応しているが、Relying Partyとの通信時にネゴシエートされなかったことを示します。

present

トークンバインディングがRelying Partyとの通信で使用されたことを示します。この場合、idメンバーが必須です。

注: TokenBindingStatus列挙は意図的に参照されていません。§ 2.1.1 DOMString型としての列挙型を参照。

id, of type DOMString

このメンバーは、status が present の場合は必ず存在しなければならず、base64url エンコーディングであり、Token Binding ID が リライイングパーティ と通信する際に使用されたものでなければなりません。

注: Token Binding IDの取得はクライアントプラットフォーム固有の操作です。

CollectedClientData構造は、クライアントによって次の値を計算するために使用されます：

クライアントデータのJSON互換シリアライズ

これは、CollectedClientData辞書に対してJSON互換シリアル化アルゴリズムを実行した結果です。

シリアライズされたクライアントデータのハッシュ

これは、クライアントが構築したクライアントデータのJSON互換シリアライズに対してSHA-256で計算されたハッシュ値です。